El estándar de PCI se creó para aumentar los controles sobre los datos de los titulares de las tarjetas de crédito y reducir los fraudes, lo que ayudó a descubrir las deficiencias de toda la industria en relación a la protección de datos. Sin embargo, los críticos suelen afirmar que el cumplimiento de PCI es costoso, confuso y subjetivo, tanto en interpretación como en aplicación.

A diferencia de otras regulaciones, el estándar de PCI proviene de una industria privada en lugar de ser una normativa gubernamental, lo cual explica las graves sanciones y los rigurosos requisitos. Por ejemplo, PCI es la primera regulación en requerir específicamente la encriptación. El estándar PCI actualmente está compuesto por 12 requisitos principales y más de 200 subrequisitos. Con tantas reglas instauradas que abarcan desde controles anti-virus al análisis de penetración, la interpretación de PCI DSS y la determinación de cómo se aplica a sus sistemas puede resultar bastante difícil, pero el trabajo no termina aquí. Todavía tiene que encontrar la forma de demostrar a los auditores de PCI que su sistema cumple con las normativas.