¿Quién audita la infraestructura de PCI ASV y QSA? ¿Quién mira a los observadores?

Mi experiencia de haber realizado una diligencia debida en compañías que habían recibido un certificado de cumplimiento para PCI DSS de uno de los jugadores globales en el espacio, ha sido bastante triste. Me tomó menos de medio día determinar el incumplimiento en dos ocasiones, y al interrogar a la empresa certificadora sobre estos obvios incumplimientos, me dijeron que el consultor había abandonado la empresa.
Parece que la responsabilidad de otorgar un certificado de cumplimiento recae únicamente en el consultor que usted obtenga, y su empleador se quita las manos de la responsabilidad, por lo que desafortunadamente un certificado de cumplimiento no significa mucho.
Es responsabilidad del comerciante asegurarse de que cumple con las normas, y que la certificación es solo una formalidad. Es el comerciante el que sufre cuando se produce un compromiso, no el auditor, por lo que la gerencia no debe confiar en el certificado de cumplimiento para sentirse cómodo, sino en su propio gerente de seguridad interno. Sin un recurso de seguridad interno dedicado, el cumplimiento no es posible de todos modos.