什么是 PCI 合规?

　　PCI DSS 含义

　　支付卡行业数据安全标准 (PCI DSS) 是指确保存储、处理或传输信用卡信息的所有公司为其客户数据提供安全环境的要求组合。

　　但究竟什么是 PCI DSS? 这听起来可能很繁重，但它由有用的规则和指南组成，使卖家及其客户免受攻击者的影响。它于 2006 年 9 月 7 日首次作为官方法规推出，旨在通过信用卡交易的各个阶段提高帐户的安全性。

　　PCI DSS 由 American Express、Discover、JCB、Mastercard 和 Visa 创建的一组官员管理。这些实体负责执行合规法规。

　　提高卡支付系统的数据安全性是 PCI 安全标准委员会的工作，也称为 SSC。他们提供标准和材料，其中包含工具、测量、框架和资源，以支持组织努力维护持卡人信息安全。该委员会使用 PCI DSS 作为框架，创建全面的支付卡安全流程，以便检测、预防和响应安全问题。

　　本文将深入探讨为什么 PCI 合规很重要，以及如何在您的组织中实现充分的 PCI 合规。它还将深入挖掘成本、如何验证您的合规性，以及不遵守这些法规的处罚。

　　为什么遵守 PCI 很重要?

　　遵守 PCI 很重要，因为存储和保存客户信用卡数据的企业如果没有采取适当的预防措施，可能会使客户面临欺诈性攻击和银行可能遭受重大损失。

　　如果保持 PCI DSS 合规，您还可以查看其他几个基本监管框。也就是说，您可以始终遵守隐私和安全法律，例如 Gramm-Leach-Bliley 法案 (GLBA) 和通用数据保护条例 (GDPR)。

　　根据 Verizon 最近的一项研究，86% 的漏洞是因为黑客正在谋取经济利益。黑客将您的数据视为潜在的收入来源，因此迫切需要通过实施 PCI 合规措施来切断其访问。

　　您如何实现 PCI 合规?

　　PCI 合规涉及 12 个不同的要求，所有这些要求都旨在增强安全性。具体如下：

　　PCI DSS 合规的十二点检查清单：

　　1. 安装防火墙并进行维护

　　防火墙可以防止未知或外国行为者试图未经授权的访问而访问您的网络。在许多网络安全计划中，防火墙是阻止黑客的第一步。由于防火墙在防止黑客和其他人访问敏感数据方面非常有效，因此对于需要获得 PCI DSS 合规的商家或公司来说，防火墙是必不可少的。

　　2. 启动强密码保护

　　接受银行卡支付的组织的大部分基础设施都带有易于辨认的通用密码。这包括调制解调器、路由器、销售点 (POS) 系统和其他产品。如果企业没有采取适当措施使密码更安全，则其系统可能有一个或几个简单的访问点。

　　为了在建立强密码或其他安全访问措施时保持合规，组织必须维护一份需要身份验证的所有软件和设备的列表。黑客也必须不容易猜到密码。

　　3. 保护持卡人的数据

　　为了实现 PCI DSS 合规，组织必须确保持卡人数据的双重保护。卡数据必须使用特定算法加密。然后使用加密密钥进行加密，加密密钥也被加密。然后，需要定期维护和扫描主账号，以确保所有数据继续加密。

　　4. 加密传输的数据

　　所有持卡人数据均通过黑客可能访问的多个渠道传输。为了保证数据的安全，必须对数据进行加密。这样，即使黑客找到了拦截它的方法，他们也必须完成解密的艰巨任务，然后才能使用它。此外，除非账号被验证为合法，否则账号不能传输到目的地。

　　5. 安装和维护防病毒软件

　　使用反病毒软件始终是个好主意，但对于任何存储主账号或与主账号交互的设备来说都是一个要求。为了确保软件的可行性，应定期更新和修补软件。此外，如果企业无法直接将其安装在某些设备上，组织的 POS 提供商应使用防病毒软件。

　　6. 更新软件

　　反病毒软件和防火墙都需要定期更新。企业必须更新其运行的所有软件。在大多数情况下，软件可以执行自动更新，作为额外的保护层。对于与客户数据交互的设备来说，实施这些更新尤为重要。

　　7. 限制对数据的访问

　　只有绝对需要知道的人才能看到持卡人数据。任何不需要访问数据来完成工作的人都不能看到或使用它。任何获得访问权限的人都应记录其姓名和访问权限，并且这些记录应保持最新。

　　8. 为具有访问权限的人员建立唯一 ID

　　任何获得持卡人数据访问权限的人都必须获得唯一的身份和凭证才能获得访问权限。例如，如果几名员工使用相同的登录凭据访问系统或设备，组织就会不合规。如果每个人都保留唯一的 ID 和凭证，则更容易弄清楚漏洞的起源。

　　9. 物理访问需要受到限制

　　持卡人数据应保存在安全的地方。无论数据是物理输入还是存储在硬盘驱动器或其他设备上，都需要将其保存在安全的抽屉、机柜或房间内。除了限制访问外，组织还必须在访问数据时保留日志，以保持合规性。

　　10. 建立和维护访问日志

　　每当有人访问持卡人的主账号时，都应记录活动。为了保持合规性，您需要记录数据流以及人们需要访问的频率。

　　11. 扫描并执行测试以识别漏洞

　　为确保系统合规，您必须扫描系统是否存在漏洞。进行测试，确保它能够做应该做的事情。如果很长时间没有受到攻击，除非正确检查，否则可能很难知道系统是否正常工作。

　　12. 记录您的政策

　　记录您的政策不仅仅涉及写下来。您还必须维护软件和设备的清单，以及与数据交互的员工名单。您必须记录信息如何流入您的组织，以及如何存储和使用信息。

　　资料来源于网络，详情请点击：集中管理，FortiManager | 网络管理解决方案（https://www.fortinet.com/cn/products/management/fortimanager）