您需要了解的 PCI DSS 4.0.1 重要变更

支付卡行业数据安全标准（PCI DSS）v3.2.1 不是刚于2024年3月31日失效，并由PCI DSS v4.0取代了吗？

是的，两个问题的答案都是肯定的。

不过，为回应PCI DSS v4.0发布后收到的反馈和问题，支付卡行业安全标准委员会（PCI SSC）决定发布该标准的有限修订版：PCI DSS v4.0.1。（PCI DSS v4.0于2024年12月31日停用后，v4.0.1将成为PCI SSC支持的唯一有效标准。）

在更新或构建交易安全与合规体系时，需要了解PCI DSS v4.0.1中的几项重要变更。为简明起见，本博客将介绍F5应用和API安全解决方案所应对的变更与更新。更完整的变更列表可在PCI SSC网站上查看。

PCI DSS v4.0.1中最相关的更新旨在明确客户端安全要求的适用范围。

各方分别负责什么？

要求 6.4.3

此要求规定，所有在消费者浏览器中加载并执行的支付页面脚本均应按以下方式管理：

• 已实施一种方法，用于确认每个脚本均已获得授权。
• 已实施一种方法，以确保每个脚本的完整性。
• 维护所有脚本的清单，并以书面形式说明每个脚本不可或缺的业务或技术理由。

通常，商户依赖支付服务提供商或第三方服务提供商（PSP或TPSP）处理付款，而支付处理方式决定了消费者如何为所购买的商品或服务付款。当商户使用包含支付页面的PSP/TPSP内联框架（iframe）时，这项PCI要求使相关责任模型变得难以明确。iframe本质上是为实现特定功能而呈现的小型网页。脚本也可以在其中运行，因此iframe面临与父网页相同的风险。那么，iframe是否需要遵循与父页面相同的PCI要求？

v4.0.1更新明确指出，商户仅对其自有页面（父页面）上运行的脚本负责，而无需对PSP/TPSP iframe中运行的脚本负责。

建议做法：商户有责任与PSP/TPSP iframe页面的供应商合作，确保这些页面合规且安全。如果商户未满足此要求，可能面临支付欺诈问题，进而造成业务损失，并受到PCI的严格审查。

要求 11.6.1

要求11.6.1附近也加入了类似的澄清，重点关注消费者浏览器接收的HTTP标头和脚本中会影响安全的系统。这是一项重要变更，因为PCI明确指出，其关注的是与该要求相关的风险，而不是要求对与安全无关的HTTP标头和脚本事件提供更广泛的防护。

PSP/TPSP嵌入式iframe的责任模型也有所更新，明确商户仅对父网页负责，而PSP/TPSP供应商则对其iframe中呈现的、会影响安全性的HTTP标头和脚本负责。

时间紧迫

距离2025年3月实施新要求的截止日期已不足9个月，各组织需要妥善应对拟议变更以及遵循PCI DSS v4.0.1所涉及的各种复杂问题。

F5与PCI DSS v4.0.1

F5 Distributed Cloud Web App and API Protection (WAAP)、Distributed Cloud Bot Defense、Distributed Cloud Client-Side Defense和Mobile App Security Suite是F5 Distributed Cloud Services旗下产品，为保护整个企业对消费者交易奠定了基础。对于客户端脚本，Distributed Cloud Client-Side Defense可提供可见性和控制能力，帮助满足合规要求。F5 Distributed Cloud Services目前符合PCI DSS v4.0，并定期接受经批准的审计公司的合规审计。组织必须在2025年1月1日前符合PCI DSS v4.0.1，并相应更新自我评估问卷。

最后，受PCI DSS要求约束的组织预计将在未来几个季度看到以下文档发生变化：

• 自我评估问卷（SAQ）
• 合规报告（ROC）
• 合规证明（AOC）

建议做法：关注https://blog.pcisecuritystandards.org，及时了解标准的更新或修订，并与PCI DSS审核员沟通，确保贵组织按计划满足PCI DSS要求。

如需了解详情，请访问f5.com/products/distributed-cloud-services。