支付卡行業(yè)合規(guī)概念以及可用方案
術(shù)語：
- PCI(Payment Card Industry)：支付卡行業(yè)
- PCI compliance：支付卡行業(yè)合規(guī)
- PCI DSS(Payment Card Industry Data Security Standard)：指支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)
- PA DSS(Payment Application Data Security Standard)：支付應(yīng)用程序數(shù)據(jù)安全標(biāo)準(zhǔn)
- PCI SSC(PCI Security Standards Council)：支付卡行業(yè)安全標(biāo)準(zhǔn)委員會
此迷你系列文章的目的是讓中小型商戶理解支付卡行業(yè)合規(guī)的概念和允許他們縮小支付卡行業(yè)合規(guī)范圍的可用方案。
1. 什么是支付卡行業(yè)合規(guī)?
隨著信用卡支付處理技術(shù)的發(fā)展，信用卡欺詐率和信用卡欺詐類型都逐漸增多。在信用卡支付處理過程，為了阻止信用卡數(shù)據(jù)被不法分子利用，支付卡行業(yè)合規(guī)需求應(yīng)然而生。
盡管存在多種業(yè)務(wù)接受和使用信用卡支付，相對較少配備完善必要的工具和資源，以滿足嚴(yán)格的支付卡行業(yè)合規(guī)認(rèn)證法規(guī)。結(jié)果，對于中小型商戶有一些可替代方案，允許他們跳出支付卡行業(yè)合規(guī)范圍或簡化他們的支付卡行業(yè)合規(guī)審計(減少其支付卡行業(yè)合規(guī)范圍)。
在討論這些方案的細(xì)節(jié)之前，我們先梳理安全標(biāo)準(zhǔn)委員會定義和維護(hù)的關(guān)鍵支付卡行業(yè)合規(guī)需求。
2. 支付卡行業(yè)合規(guī)標(biāo)準(zhǔn)
PCI DSS指支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)規(guī)定了一個組織遵循的支付卡支付處理的要求。這些要求主要是為了確保信用卡數(shù)據(jù)安全并防止泄露。任何企業(yè)希望達(dá)到支付卡行業(yè)合規(guī)必須遵循PCI DSS標(biāo)準(zhǔn)。根據(jù)PCI DSS的要求，企業(yè)應(yīng)該遵循的需求和目標(biāo)可以在這里找到。
除了PCI DSS標(biāo)準(zhǔn)，對于使用支付卡的企業(yè)為了滿足支付卡行業(yè)合規(guī)，有一個更簡潔的標(biāo)準(zhǔn)支付卡處理軟件，稱為PA DSS，中文為支付應(yīng)用程序數(shù)據(jù)安全標(biāo)準(zhǔn)。PA DSS列出了為了保護(hù)持卡人的數(shù)據(jù)，支付處理應(yīng)用程序應(yīng)該滿足的要求。PA DSS要求的完整列表可以在這里找到。
要跟蹤所有滿足PA DSS標(biāo)準(zhǔn)的應(yīng)用程序，PCI SSC維護(hù)一個認(rèn)證的應(yīng)用程序列表。
簡而言之，PCI DSS是針對接受信用卡(如零售店、健身俱樂部、收藏公司及其他)支付的商家和那些提供托管模式的支付應(yīng)用程序(如付款處理器、支付網(wǎng)關(guān)和電子錢包公司)。
另一方面，PA DSS針對軟件生產(chǎn)的企業(yè)，他們本身不一定使用支付卡數(shù)據(jù)，但是這些公司的軟件產(chǎn)品分發(fā)給最終用戶(使用信用卡支付)和安裝在用戶的機器上(或網(wǎng)絡(luò)上)。一般來說，PA DSS要求這些產(chǎn)品確保支付卡數(shù)據(jù)處理的安全性。
關(guān)于標(biāo)準(zhǔn)和其他PCI SSC文檔的更多信息可以在這里找到。
3. 支付卡行業(yè)合規(guī)的兩個模塊
宏觀上來看，PCI合規(guī)企業(yè)面臨兩個問題：
- 持卡人數(shù)據(jù)存儲 - 如何存儲信用卡，誰負(fù)責(zé)存儲信用卡?
- 持卡人數(shù)據(jù)流 - 信用卡是如何被接收的、刷卡的、鍵入密碼的，用哪一個軟件處理信用卡，如何重復(fù)使用卡?
雖然人們普遍認(rèn)為如果商戶存儲卡信息，則商戶在支付卡支付合規(guī)范圍內(nèi)，人們往往會誤解卡處理流程的概念不在范圍內(nèi)，而實際上它在范圍內(nèi)。
在后續(xù)的文章里，當(dāng)評估卡存儲策略和通用的卡數(shù)據(jù)處理流程的時候，我們會提供一些向?qū)Ш徒ㄗh，有助于滿足支付卡行業(yè)合規(guī)的實現(xiàn)和較小成本的對支付卡行業(yè)合規(guī)的審計。
點擊《支付卡行業(yè)合規(guī)》閱讀原文。
【本文為51CTO專欄作者“李艷鵬”的原創(chuàng)稿件，轉(zhuǎn)載可通過作者簡書號(李艷鵬)或51CTO專欄獲取聯(lián)系】
