認定取得について
PCI DSSへの具体的な対応方法は、カード情報の取扱い形態や規模によって、2つの方法があります。
訪問審査
PCI国際評議会（PCI SSC）によって認定された審査機関（QSA＝Qualified Security Assessor）による訪問審査を受けて、認証を得る。QSAの一覧は、PCI SSCのサイトに掲示されています。また、日本国内のQSA一覧は、当協議会のホームページに掲載しています。
カード発行会社をはじめ、情報の取扱い規模の大きな事業者に、要請されている方法です。
自己問診
PCI DSSの要求事項に基づいた、アンケート形式によるチェック項目に回答して、すべて「Yes」であれば、経営役員の署名を経て、準拠していると認められます。カード情報取扱い件数の比較的少ない、一般加盟店などの事業者向けの方法です。
当初の自己問診は、セキュリティに関するITの専門用語が並んでいて、一般の商店経営者の方がこの設問を理解するのは、かなりたいへんな内容でした。その後は一般加盟店やサービスプロバイダーなどの形態別に分けて制作され、PCI DSSを理解いただけるよう、工夫されています。
日本語版もPCI SSCのサイトからダウンロードできるようになっています。
サイトスキャン
訪問審査と自己問診のいずれの方法による場合も、WEBサイトから侵入されて、情報を盗み取られることがないか、PCI SSCによって認定されたベンダー（ASV＝Approved Scanning Vendor）の外部ネットワークスキャンによって、四半期に1回以上の点検を受けて、サイトに脆弱性のないことの認証を得ることが求められます。ASVの一覧は、PCI SSCのサイトに掲示されています。
また、内部ネットワークの脆弱性スキャンやペネトレーションテスト、アプリケーションの脆弱性検査などは、PCI SSCが認定しているベンダーに限定はされませんが、適正な信頼性のあるベンダーによる検査が求められています。