A maioria das organizações recorrerá a um QSA ao realizar um projeto de conformidade com PCI. Um Avaliador de Segurança Qualificado é o cara que você precisa satisfazer com quaisquer medidas e procedimentos de segurança que você implemente para cumprir a conformidade com o PCI DSS, então faz sentido que eles digam o que você precisa fazer.
