服务

PCI-DSS 合规

PCI-DSS 之所以存在，是因为持卡人数据是一个具体且人们了解透彻的攻击目标，而这个标准也反映了这一点：它细致、规定性强，对范围的要求毫不通融。我参与过的大多数 PCI 项目，并不是因为某项控制措施无法实施而失败，而是因为没有人正确梳理过持卡人数据究竟流向哪里，结果“需要合规的范围”要么宽到不切实际，要么窄到不符合事实，让项目举步维艰。

始终先确定范围

在谈防火墙、加密或日志之前，我要一份真实的数据流图：卡数据从哪里进入您的环境，每一个接触或可能接触它的系统，链条上的每一个第三方，以及每一处本应让持卡人数据环境与其他一切隔离开来的分段。网络图上看起来不错的分段，与在渗透测试中真正站得住的分段，是两回事，而 PCI 要求的是后一种。

我如何开展评估

范围确定之后，我会对照实际运行的情况逐项检查十二项要求：防火墙和路由器配置、默认凭据、传输中和静态数据的加密、访问控制与最小权限、日志与监控、漏洞管理，以及本应把这一切串联起来的策略。我要找的是那些容易藏在眼皮底下的缺口：没人打补丁的、由供应商管理的销售点系统，以未加密方式存放卡数据的备份，实际并不满足要求的日志保留期，或者只在纸面上进行而实际没有做的访问审查。

无论您需要的是自评问卷，还是由合格安全评估师出具的完整合规报告，我都会在正式评估开始之前帮您把环境整理到位，让审计确认的是已经成立的事实，而不是让您第一次听到某些问题。

适合哪些组织

适合处理、存储或传输持卡人数据的商户和服务提供商，业务已超出最初 PCI 范围却没有相应更新合规计划的公司，以及被收单银行或支付处理商告知该认真对待此事的任何人。

如果您的范围图已经过时，或者根本不存在，那就是正确的起点。请联系我。