合規并不意味著企業可避免數據泄露事故
根據Verizon關于移動和零售業安全及支付卡行業數據安全標準(PCI DSS)合規的報告顯示，很多企業在完成合規項目后，不再遵守合規性，從而留下安全漏洞，可能導致未來數據泄露事故和數據丟失，而這原本是可以避免的。
“大多數企業仍然將合規性視為兩三個月的項目，”Verizon合規性和管理專業服務主管Rodolphe Simonetti表示，“而在項目完成后，企業未能維護合規性，因為他們沒有繼續在這些系統中工作。”
Simonetti提到了即將發布的Verizon PCI報告的內容，其中顯示企業仍然在其內部系統艱難地部署和維護PCI DSS合規。這份報告在過去五年的時間里對全球30多個國家的5000家公司進行了安全評估，主要重點是世界500強企業。這個分析的結果非常驚人，其中發現在2014年遭遇安全泄露事故的公司在事故發生時都沒有遵守現有的PCI DSS合規。
Simonetti表示，“大多數公司絕對沒有保持合規性，這非常令人驚訝。”
該報告中的數據顯示，在六個月后，不到三分之一的公司仍然保持PCI DSS合規性，這是非常非常低的數據，實現合規性很困難，但保持合規性是更大的挑戰。
有趣的是，企業未能維持PCI DSS合規性的領域是Simonetti原本認為可以維持合規性的領域，包括維護防火墻、修補系統，以及定期安全漏洞測試。
“我認為這是安全基礎，”他表示，“盡管如此，仍然有很多公司未能維持這種非常基本的安全性。”
問題往往是，有些公司將PCI合規視為年度項目，而不是支持安全性的持續過程。“你永遠不可能實現100%的安全性，”他表示，“重要的是保持靈活性，確保數據泄露事故的影響不會太糟糕。有些企業做了很多工作來確保不會發生數據泄露事故，但事故發生時他們卻未能快速響應。”
零售業和酒店業分析公司IHL Group***分析師Greg Buzek表示，對于大多數企業而言。PCI DSS合規問題的答案是，信用卡安全必須采用多管齊下的方法，同時應該包括數據加密和令牌化。只有這樣，當信用卡被盜時，加密和令牌可以保護信用卡數據。
