什么是PCI DSS？概述、要求和优势

了解支付卡行业数据安全标准（PCI DSS）。该标准由相关机构联合制定，旨在简化商户和支付处理商的合规工作。

PCI DSS于2004年首次发布，是由五大支付卡品牌制定的一套安全标准，旨在保护支付数据免遭窃取和滥用。任何处理支付卡数据的企业或组织，无论是处理、传输还是存储此类数据，都需要遵守PCI DSS标准，否则可能面临严重后果，包括经济处罚、法律诉讼或商户账户被终止。

PCI DSS的目的是什么？

制定PCI DSS旨在促进并加强支付账户数据安全，推动全球广泛采用一致的数据安全措施。PCI DSS规定了技术和运营要求基准，旨在保护支付账户数据，并帮助消费者和企业防范金融欺诈和声誉损害。

PCI DSS的核心目的之一是保护持卡人数据，防止未经授权的访问和潜在滥用。这些数据包括主账号、持卡人姓名、到期日期及其他敏感信息。该标准还旨在尽可能降低数据泄露风险，因为数据泄露可能导致支付卡信息遭到未经授权的访问或窃取。通过实施PCI DSS控制措施，组织还可帮助预防和检测与支付卡交易相关的欺诈活动。

请注意，PCI DSS要求会随时间推移而不断演变，以应对新的安全威胁、技术进步和监管环境变化。最新要求请访问PCI Security Standard Council的网站。

PCI DSS合规中的4类常见漏洞来源

为确保持卡人数据安全，组织必须应对一系列潜在漏洞，才能满足PCI DSS合规要求。以下是组织为保持PCI DSS合规必须处理的4类常见漏洞。

销售点（POS）系统：POS系统在交易过程中处理敏感的支付卡数据，容易受到各种漏洞的影响，进而可能导致数据泄露和未经授权的访问。许多POS系统使用过时的硬件和软件，可能无法定期获得安全更新，因而存在可被攻击者利用的漏洞。攻击者还可能利用POS系统中强度较低或默认的用户名和密码。此外，POS系统通常还涉及第三方集成。如果这些第三方供应商的安全实践薄弱，或供应链中存在漏洞，可能会给整个系统带来风险。
未受保护的无线网络：未受保护的无线网络很容易被未经授权的人员接入，使其能够连接到POS系统及其他处理支付卡信息的设备，因此可能成为攻击者入侵并危及敏感持卡人数据的入口。此外，无线流量可能未加密，导致传输的数据面临被截获和窃听的风险。
薄弱的访问控制和身份验证：如果访问控制不够严格，未经授权的人员可能会访问敏感资源，从而增加数据泄露、未经授权的活动及其他安全事件的风险。例如，使用没有复杂度要求的简单密码，或用户账户管理不善、无法有效验证用户身份，都可能导致敏感支付信息遭到未经授权的查看、修改或外泄。PCI DSS还强调使用多重身份验证（MFA）来增强访问控制的安全性。根据最小权限原则，应仅向用户和系统授予执行任务所需的最低访问级别或权限。访问权限应根据具体的工作角色、职责和职能进行设置。
加密、令牌化和数据存储措施不足：未实施可靠的加密、令牌化和安全数据存储措施，可能导致不符合PCI DSS要求，并增加数据泄露和敏感支付卡信息遭泄露的风险。端到端加密可确保敏感支付信息在输入点（POS）即被加密，并在通过各种系统和网络传输至目的地的整个过程中保持加密状态，最终由接收方使用正确的密钥解密数据。也可以对支付信息进行令牌化，即使用称为令牌的非敏感占位值替换信用卡号等敏感数据。发生支付交易时，实际持卡人数据会被替换为唯一令牌。该令牌本身没有内在价值，攻击者如无法访问令牌化系统，便无法利用该令牌。加密和令牌化都有助于防止恶意行为者窃听或截获数据，并维护持卡人数据的机密性。

PCI DSS的六项原则

PCI DSS规定了旨在保护支付账户数据的技术和运营要求基准。以下六项PCI DSS原则详细说明了这些要求。

1. 构建并维护安全的网络和系统

保护持卡人数据，首先要建立安全的网络基础设施，包括使用防火墙控制和监控网络之间的流量，并限制未经授权的访问。微分段是另一项建议采用的安全策略。该策略将网络划分为多个相互独立的小型分段，通过控制网络内部以及应用或工作负载层面的“东西向”横向流量来增强安全性，从而缩小潜在攻击面。建立漏洞管理最佳实践对于确保系统及时修补并保持最新状态也至关重要。

2. 保护持卡人数据

此原则重点要求对传输和存储过程中的持卡人数据进行加密和保护，以防止未经授权访问敏感信息。该要求规定，在通过公共网络传输持卡人数据时，必须使用强加密技术进行保护，并制定数据保留策略，避免在授权完成后存储敏感身份验证数据。数据保护策略还要求对主账号（PAN）进行掩码处理或截断，以降低未经授权访问和敏感持卡人信息泄露的风险。根据PCI DSS要求，显示PAN时，最多只能显示前6位和后4位数字。

3. 维护漏洞管理计划

要维护安全的环境，需要定期识别并修复漏洞。这包括定期开展漏洞扫描，提醒企业注意代码中已有的缺陷；还包括开展渗透测试，通过模拟真实攻击来检验现有安全措施的有效性，并确定是否可能发生未经授权的访问或其他恶意活动。及时修复扫描或测试中发现的任何弱点，对于防止系统及其中可能存储的持卡人数据遭到入侵至关重要。此外，组织必须制定并执行安全编码准则，例如OWASP等组织发布的准则，以防止在软件开发生命周期中引入漏洞。

4. 实施严格的访问控制措施

限制对系统组件和持卡人数据的访问，有助于防止未经授权的个人或系统进入。PCI DSS要求根据业务知情需要限制访问，这通常称为最小权限原则，即用户或系统只能访问完成必要任务所需的特定数据、资源和应用程序。同样，基于角色的访问控制（RBAC）根据用户在组织中的角色，将系统访问权限限制为仅向授权用户开放。这些策略要求经常审查和更新访问控制，以反映人员和角色的变化。此外，还要求对系统和持卡人数据的访问实施多重身份验证（MFA），并改进密码策略和最佳实践。

5. 定期监控和测试网络

持续监控和测试对于及时检测和响应安全事件至关重要。这包括实施日志记录机制、定期开展安全测试，以及持续审查网络活动。网络监控工具还包括入侵检测系统（IDS）和入侵防御系统（IPS）。这些系统通过分析和评估网络流量的完整性，识别攻击模式、异常活动和未经授权的使用。组织还必须制定事件响应计划和应急程序，并确保定期测试这些流程。

6. 维护信息安全策略

PCI DSS还要求组织制定并维护全面的信息安全策略，为保护持卡人数据和规范组织内部的安全实践建立框架。该策略必须形成文档，并定期审查和更新，以反映技术和业务流程的变化。组织还必须确保员工了解安全策略和程序，并接受相关培训。

了解PCI DSS要求

遵循以下12项PCI DSS要求，对于组织构建稳健的安全态势、保护持卡人数据并最大限度降低数据泄露风险至关重要。

安装并维护Network security控制措施。Network security控制措施（NSC），例如防火墙和其他Network security技术，是网络策略执行点，通常用于控制两个或多个逻辑或物理网段（或子网）之间的网络流量。NSC在安全的内部网络与外部网络之间发挥屏障作用，并根据预先确定的安全规则或策略控制入站和出站流量，帮助防止未经授权访问持卡人数据。
对所有系统组件应用安全配置。更改默认配置可降低未经授权访问的风险，确保系统从一开始就采用安全配置，因为攻击者通常熟知默认密码和设置。请勿对系统密码及其他安全参数使用供应商提供的默认值。
保护存储的持卡人数据。组织必须对存储的持卡人数据进行加密，以便即使发生数据泄露，也能防止未经授权的访问。这样，在没有正确解密密钥的情况下，被盗数据将无法读取。
在通过开放的公共网络传输持卡人数据时，使用强加密技术进行保护。这有助于防止数据在传输过程中遭到窃听和未经授权的访问。
保护所有系统和网络免受恶意软件侵害。定期更新防病毒软件并使用反恶意软件工具，有助于预防、检测和清除恶意软件，降低系统遭入侵的风险。
开发并维护安全的系统和软件。开发应用时应充分考虑安全性，重视安全编码实践以及系统和应用的持续维护。定期更新软件并安装补丁，有助于修复可能被攻击者利用的漏洞。
根据业务知悉需要限制对系统组件和持卡人数据的访问。访问控制仅允许因工作需要而必须访问持卡人数据的人员进行访问。这可降低未经授权访问的风险，并帮助组织遵循最小权限原则。
识别用户并对系统组件访问进行身份验证。为用户分配唯一ID和强密码，以验证其身份。这有助于确保只有获得授权的人员才能访问持卡人数据。多重身份验证可以增加一层额外的安全保障。
限制对持卡人数据的物理访问。出入限制和监控等物理访问控制措施有助于防止未经授权的人员实际接触存储持卡人数据的系统。
记录并监控对系统组件和持卡人数据的所有访问。日志文件、入侵检测和防御系统以及其他跟踪工具有助于实现有效的持续监控，使组织能够及时检测并响应可疑活动。
定期测试系统和网络的安全性。主动开展测试（包括漏洞评估和渗透测试），有助于在攻击者利用安全弱点之前发现并解决这些问题。
通过组织政策和计划支持信息安全。实施全面的安全政策，以持续满足合规要求。该政策应明确保护持卡人数据的规则和准则，并确保所有人员了解该政策、接受相关培训并遵守政策。

PCI DSS合规级别

PCI合规级别根据12个月内信用卡、借记卡和预付卡的交易总量分为4个级别。组织必须准确确定其交易量，并遵守相应级别的要求，以确保并持续符合PCI DSS合规要求。保持适当的合规级别对于保护电子商务交易、维护安全的持卡人数据环境以及防止潜在的数据泄露至关重要。

级别1：年交易量超过600万笔的企业

PCI合规级别1是PCI DSS中要求尤为严格的级别，旨在为存储、传输或处理信用卡数据的企业提供高水平的安全保障。此外，无论规模大小，凡因数据泄露或网络攻击导致信用卡或持卡人数据遭到泄露的商户和服务提供商，都必须满足PCI级别1要求。PCI级别1验证要求由合格安全评估机构（QSA）或内部安全评估人员每年出具合规报告（ROC），通常还要求开展渗透测试，即通过模拟针对计算机系统和应用的真实网络攻击来识别漏洞。PCI级别1验证还要求由经批准的扫描供应商（ASV）每季度执行一次网络扫描。

级别2：年交易量为100万至600万笔的企业

PCI DSS 2级商户必须每年使用自我评估问卷（SAQ）进行一次合规评估，并由经认可的扫描服务商（ASV）每季度执行网络扫描。此外，还必须填写合规证明（AOC）表。与1级商户一样，部分2级商户可能需要进行渗透测试。除非发生危及信用卡数据或持卡人数据的数据泄露或网络攻击，否则2级商户无需接受现场PCI DSS审核。

级别3：每年处理20,000至100万笔电子商务交易的企业

PCI DSS 3级商户必须每年完成适用的SAQ，并由ASV每季度执行一次网络扫描。商户还必须填写并提交AOC表单。

级别4：每年电子商务交易少于20,000笔或其他交易不超过100万笔的企业

PCI 4级商户必须完成适用的年度自我评估问卷（SAQ），并且可能需要每季度进行一次由认可扫描供应商（ASV）执行的外部网络安全扫描。商户还必须填写并提交合规证明（AOC）表。并非所有银行卡服务提供商都设有4级分类。

遵循PCI DSS的优势

遵循PCI DSS的12项要求对于加强数据安全和促进整体合规至关重要。这些要求相互配合，构成一个全面的框架，用于保护持卡人数据并防止安全漏洞。

遵循PCI DSS体现了企业保护敏感持卡人数据的承诺，让客户确信其信用卡信息按照严格的安全标准进行处理，并增强客户对企业保护其个人信息能力的信心。此外，遵循PCI DSS的企业能够更好地应对因数据安全措施不足而引发的法律诉讼和监管处罚。

随着技术和安全形势不断演变，持续符合PCI DSS要求还能带来其他长期优势。遵循PCI DSS要求有助于组织保持警惕，更有效地防范高级复杂攻击，并更快地适应不断变化的网络威胁。遵循PCI DSS还有助于在组织内部培养超越合规要求、以安全为核心的文化，推动组织持续加强数据安全实践。

以下案例说明了PCI DSS如何帮助建立（并重建）客户信任。2012年，Global Payments，一家大型支付处理公司，遭遇数据泄露事件，导致敏感支付卡信息遭到未经授权的访问。此次泄露影响了约150万张信用卡和借记卡，引发了对支付交易安全性的担忧。Global Payments立即采取措施控制泄露，并启动调查以确定数据失陷的范围。包括美国特勤局在内的执法机构参与了调查。

为应对此次数据泄露事件，Global Payments承诺加强安全基础设施，并采取更多措施，防止今后发生类似事件。该公司还承诺优先实现并持续遵守PCI DSS要求，这有助于让客户和利益相关方确信，Global Payments正在采取切实措施保护支付数据。

Global Payments通过主动解决安全漏洞、投资加强安全措施并实现PCI DSS合规，展现了重建信任的决心。该公司对透明度的重视、在安全方面的投入以及实现PCI DSS合规，在重获客户信任和重塑其在支付处理行业的声誉方面发挥了关键作用。

PCI DSS合规挑战

要求的复杂性

落实PCI DSS的12项要求可能会给组织带来多重挑战，因为实施并持续满足PCI DSS合规要求需要充足的人员和技术资源。各种规模的组织都可能难以准确界定和控制实施范围；对于预算和专业能力有限的小型企业，或需要更新旧系统以满足现行PCI DSS标准的企业而言，这项工作尤其具有挑战性。企业通常依赖第三方供应商完成实施过程中的多个环节，但确保这些供应商符合PCI DSS要求并保障供应链安全，同样是一项重要责任。

持续维护

持续满足PCI DSS合规要求是一个长期过程，需要定期开展监控、测试和评估。组织必须保持警惕，并定期更新安全措施和补丁管理策略。保持合规还需要持续投入，定期测试安全系统和流程，包括开展全面的渗透测试和漏洞评估。这些工作可能需要投入大量资源，也可能带来后勤方面的挑战，并随着时间推移加重资源负担。

成本影响

网络安全形势不断演变，新的复杂威胁层出不穷。为满足PCI DSS合规要求，企业需要持续监控和分析威胁形势，以了解这些风险并提前应对。识别和缓解零日漏洞也是保持PCI DSS合规的一项重大挑战，因为这类漏洞是尚未公开的安全缺陷，威胁行为者会在供应商发布补丁之前加以利用。持续改进并及时了解最新安全趋势，是有效应对新兴威胁、保持前瞻性，同时确保PCI DSS合规措施适应网络威胁动态变化的关键。

不断演变的威胁形势

网络安全形势不断演变，新的复杂威胁层出不穷。为满足PCI DSS合规要求，企业需要持续监控和分析威胁形势，以了解这些风险并提前采取应对措施。识别和缓解零日漏洞也是保持PCI DSS合规的一项重大挑战，因为这类漏洞是尚未公开的安全缺陷，威胁行为者可能会在供应商发布补丁之前加以利用。持续改进并及时了解最新安全趋势，是有效应对新兴威胁、保持前瞻性，同时确保PCI DSS合规措施适应网络威胁动态变化的关键。

专家洞察与资源

访问PCI安全标准委员会的网站，获取有关PCI DSS合规要求、培训和资质认证的最新信息，并联系具备PCI资质的专业人员。该网站还提供丰富的资源库，其中包括常见问题解答、术语表以及实用的PCI DSS快速参考指南。

F5如何提供帮助

对于处理信用卡交易的组织而言，遵循PCI DSS至关重要，因为其要求有助于确保持卡人数据安全、保护交易网络，并对安全系统实施强制监控和测试。F5提供一系列应用安全产品、服务和解决方案，帮助贵组织实现并持续符合PCI DSS要求。此外，F5 Distributed Cloud Services作为1级服务提供商，符合PCI DSS要求。

F5还通过F5 Labs的研究、分析、博客和报告，分享应用安全与防护策略方面的前沿观点和洞察。