数字支付的兴起使小企业更容易进入全球市场，但也引发了对网络安全和合规性的担忧。支付卡行业数据安全标准（PCI DSS）旨在通过标准化企业如何保护支付卡账户数据。
PCI DSS 要求实施和维护的数据安全措施可能具有极高的资源密集度，这就是挑战所在。与大型企业相比，小型企业通常缺乏专门的网络安全团队，也缺少相应的时间和资金。因此，应对 PCI DSS 合规性需要采取更具战略性的方法。
这并非走捷径，而是要理解 PCI DSS 合规性对您的业务在何处是必要的，它如何融入全球贸易背景，然后采取最高效的步骤来确保合规。
了解全球贸易中的 PCI 合规性
在全球市场运营必然会使合规工作更加复杂。不同地区有其自身的法律和处罚结构需要应对。正是在这种情况下，PCI DSS 合规性变得至关重要。尽管新的数据隐私和网络安全法规相继出台，PCI DSS 仍然是保护支付卡账户数据的基础标准。大多数监管机构将其作为参考基准，因此无论支付交易发生在何处，这也是小型企业确保整体合规的最简单方式。
然而，忽视合规的财务成本不仅限于监管问题。未解决的弱点可能导致昂贵的数据泄露。2019 年，Wawa 因网络钓鱼攻击遭遇销售点系统泄露事件，影响 3400 万张银行卡，该便利店和加油站连锁企业为此支付了 4880 万美元的和解金。英国零售巨头马莎百货（M&S）在应对自身泄露事件期间，不得不关闭在线订单数周，并在此过程中损失了数百万英镑的销售收入。此类案例说明了攻击的影响范围之广，以及为何 PCI DSS 合规性如此必要，尤其是在全球贸易的背景下。
公开披露的数据泄露所造成的声誉损害，其代价几乎与泄露本身相当。
这一点之所以重要，是因为 PCI DSS 合规性在全球范围内的执行并不统一：在某些地区，收单机构并未积极监控合规状态或要求年度验证。在缺乏这种监管压力的情况下，支持合规的理由更多在于避免泄露对企业在客户和合作伙伴心中地位造成的损害，而非仅仅为了避免处罚。
因此，负责任的企业应将声誉损害的代价——而不仅仅是泄露本身的和解和恢复成本——作为遵守合规要求的主要考量因素。维持 PCI DSS 合规性表明了严肃的意图，并为国际客户和合作伙伴提供了安心保障。这对于希望扩展业务并在即使合规未被正式监管但也期望符合标准的市场中建立信任的中小企业来说，尤其具有价值。
识别支付处理中的风险与漏洞
发现不合规及支付安全漏洞的最有效方法之一是进行 PCI DSS 评估。这始于清晰了解与接受、处理、传输和存储支付卡账户数据相关的业务运营和流程。凭借这一理解，您可以确定评估的范围以及需要实施的 PCI DSS 要求。
评估可能涉及填写适用的 PCI DSS 自评估问卷（SAQ），或者您可能需要聘请 PCI 合格安全评估师（QSA）来支持您的评估。您可能还需要由 PCI 批准的第三方专家进行定期漏洞扫描（批准扫描供应商）。这些范围界定和评估活动可以阐明哪些地方需要合规，哪些地方不需要，以及小型企业甚至可以在哪里减少风险暴露。
例如，许多企业在不必要存储和传输持卡人数据方面存在过错。英国航空公司在 2020 年因数据泄露被罚款 2000 万英镑，这正好说明了企业保留其不需要的持卡人账户数据所面临的风险。在 BA 的案例中，包括卡号和 CVV 号码在内的数据随后遭到泄露。
即使是临时存储也可能导致责任风险暴露，并显著扩大 PCI DSS 的评估范围和实现合规所需的工作量。将存储限制在符合 PCI DSS 标准的第三方可以减少重大风险。话虽如此，外部合作伙伴也可能是漏洞的来源，正如通过 Picreel（一种分析和优化工具）向网站注入卡片窃取代码的情况所示。PCI DSS 对此类攻击进行了规定，要求对支付页面上运行的脚本进行检查，并制定针对潜在篡改的检测计划。
PCI DSS 解决的另一个常见风险因素是过时的支付基础设施。黑客经常瞄准小型企业，赌定他们倾向于使用的即插即用系统不太可能得到维护。最近的一个例子是 Funnel Builder WordPress 插件，该插件被入侵并植入了卡片窃取程序。即使在修补后，许多客户仍使用旧版本的插件，从而处于易受攻击的状态。
跨境交易经过多个中间商时也会产生薄弱环节。不同地区和供应商可能受到不同的安全标准约束，这可能导致不一致性，进而造成合规性和数据保护方面的漏洞。在此情况下，PCI DSS 合规性可以提供更大的保护。
实施有效的安全措施
实施有效安全措施的第一步是通过映射数据流和跟踪交易数量来定义范围。这两者都将影响 PCI DSS 合规性。提前收集这些信息有助于做出更战略性的安全决策，并为企业节省过度合规措施的成本。
PCI DSS 要求的实际安全措施与许多简单且良好的网络安全实践要求重叠。限制进出流量的安全网络、定期漏洞扫描、反恶意软件保护、安全意识培训以及适当的访问控制和身份验证系统并非新鲜事物。这样做的好处是，它们可以整合到企业网络安全策略的基础中，而不必被视为并行添加的内容。事实上，以这种方式处理支付数据安全措施不仅更有效，而且更具成本效益。
同样重要的是，当企业追求自身的安全措施时，必须检查其所依赖的第三方是否也在这样做。PCI DSS 明确规定，当企业选择使用第三方服务提供商——无论是为了存储、处理或传输支付卡账户数据，还是代表其管理系统——他们仍需负责确保保护其客户的支付卡账户数据。
技术安全措施还必须辅以政策、流程和操作程序，这些内容不仅要记录在案，还要让所有相关方知晓并投入使用。这对于合规性以及一致性和竞争力都同样重要。它确保了安全措施的可扩展性和整体有效性。
另一个需要注意的因素是如何监控威胁格局的变化并迅速作出响应。安全措施的有效性会随时间而变化。不仅外部威胁会演变，而且随着企业的发展，流程的变化或支付卡数据的处理方式也会影响安全性。
培训员工并建立合规文化
支付安全和 PCI DSS 合规性面临的威胁往往源于人为漏洞，而不仅仅是系统弱点。所有负责保护支付卡账户数据安全或可能影响该数据安全的员工，包括全职和兼职员工、第三方、服务提供商、承包商和顾问、临时员工以及其他工作人员，都需要接受培训，学习如何识别和应对不断演变的网络钓鱼攻击和其他攻击。最好通过现实世界的示例和模拟进行。培训课程无需具备技术性；只需让员工意识到危险信号，学会“放慢脚步，三思而后行”，以及如何上报可疑情况。
合规文化还通过明确的责任线来建立。将 PCI DSS 相关合规性和流程的所有权分配给特定个人，可以确保始终有人负责检查合规状态，防止其被视为事后补救措施。每个人都必须了解并理解自己在维护业务安全方面的角色和责任。
通过持续合规保持领先
PCI DSS 每隔几年才会修订一次，但企业被期望持续保持合规，并每年进行评估。在此过程中，需要监控、定期漏洞扫描和其他检查，以确保支付流程和数据的绝对安全。持续合规的好处在于，它使企业能够领先于潜在的网络安全威胁，并更容易跟上全球合规压力。
合规不仅仅是降低风险。它还增加了增长机会。保持合规的企业更有能力拓展新市场的贸易，并建立经得起时间考验的声誉。
作者简介
克里斯·布朗（Chris Brown）是一位高级网络安全和产品营销领导者，在网络安全、信息系统审计、产品管理和营销领域拥有超过 15 年的经验。作为 VikingCloud 的高级产品营销经理，克里斯帮助企业了解如何通过支持安全、不间断运营并与风险管理框架保持一致的解决方案，来应对复杂的安全挑战。
在加入 VikingCloud 之前，克里斯领导产品管理工作长达十余年，开发了使客户能够自信地应对风险和合规义务的软件和服务。如今在营销领域，他利用同样的专业知识，帮助客户找到所需工具和服务，以保护其系统并做出明智决策。
克里斯拥有科罗拉多大学博尔德分校的商业管理学士学位，主修会计和运营管理。他还持有多个行业认证，包括 CISSP、CISA、CRISC 和 PCIP。