PCI DSS 3.2.1 已到最后期限……您准备好迎接 4.0 了吗？

2024年3月31日（星期日）这个对全球而言意义重大的日期已经过去。为什么这么说？对于任何接受消费者付款的组织而言，这一天标志着PCI DSS 3.2.1合规标准正式退役（2018年5月1日至2024年3月31日）。贵组织现已进入PCI DSS 4.0时间表，必须在2025年3月前完成符合4.0要求的自我评估问卷（SAQ）和外部机构审计。如果希望通过消费者付款确认收入，就必须遵守PCI DSS 4.0。

PCI DSS 4.0规范较3.2.1版有重大升级，可在此处查看变更摘要。4.0版引入了多项变更（同时还更新了SAQ），但要实现并持续满足合规要求，还需要在整体架构中保护以下两个全新领域：

• 应用程序编程接口（API）［2.2.7；6.2.3；6.2.4］
• 定制软件［6.X；8.6.2；12.8.1］

为便于说明，我们仅进一步介绍“定制软件”的一部分。这是由组织构建的定制软件，用于帮助消费者完成付款。定制软件如下：

• 由内部开发或来自外部第三方来源
• 为支付应用程序（交易服务器端）开发，或推送至消费者的Web浏览器（交易客户端）以执行数据收集的软件

许多组织面临的一项挑战，是将定制软件的安全保障和PCI DSS合规范围扩展到消费者的Web浏览器（要求6.4.1和11.6.1）。如今，保障交易安全不仅需要保护服务器端，还需要监控消费者的Web浏览器，并防范组织推送到浏览器中的“定制软件”所带来的风险。即使客户端Web浏览器使用的定制软件（例如JavaScript）来自第三方，收款方仍有责任对其进行监控和保护。试图将责任推给软件来源方，无法获得审计人员的认可。

那么，客户端定制软件需要满足哪些要求？根据第6.4.1节，可归纳如下：

在消费者浏览器中加载并执行的所有支付页面脚本均按以下方式管理：

• 已实施一种方法，用于确认每个脚本均已获得授权。
• 已实施一种方法，以确保每个脚本的完整性。
• 维护所有脚本的清单，并以书面形式说明每个脚本的必要性。

这意味着，所有推送的软件（脚本）都必须纳入清单管理，说明其必要性并接受监控；一旦发现安全事件，还须制定修复方案。您的应用和IT安全人员是否已准备好管理、监控并报告此项要求的落实情况？您和团队是否已与PCI DSS审核员沟通安排4.0合规性审核？现在应确保安全与PCI DSS合规计划按计划推进，避免干扰安全运营，更重要的是，避免影响组织的收入收取。因为，为交易客户端提供安全保护以满足PCI DSS 4.0合规要求的期限比您想象的更近。