Visa、MasterCard、American Express和Discover等主要的信用卡品牌已采用保护消费者信用卡数据的标准。这些标准是由这些公司制定的自我监管规范，而非政府法律，并且它们还成立了一个组织来统一管理这些事务。该组织是PCI安全标准委员会。
PCI标准要求所有接受这些信用卡的商家——无论是否在线运营——都必须实现合规。但合规过程复杂、令人困惑，且往往成本高昂。商家若未能实现合规，可能会面临信用卡品牌处以的罚款，并可能因此承担巨大的法律风险。
PCI标准的批评者认为，保护卡片安全的责任应在于各信用卡品牌本身，而非商家。批评者指出，如今整个与PCI相关的供应商行业——提供相互矛盾的建议和动机——正从商家身上获利。
但主要品牌仍要求商户在2010年7月1日之前实现合规——这已超过一年了。这一日期引发了恐惧与冷漠两种情绪：不合规的商户感到恐惧，而许多购物车提供商则因忽视其在获取应用和支付相关合规性方面的角色而表现出冷漠。在大约600款购物车中，仅有不到75款出现在批准提供商列表中。（经许可的购物车批准列表由安全委员会维护；托管购物车的批准列表由Visa以PDF文档形式维护。）
然而，PCI安全委员会自身仍热切希望协助商家及其供应商理解这些标准以及各自在其中的角色。鲍勃·鲁索（Bob Russo）是该委员会的总经理。他最近就我们接受了采访，谈到了标准的现状、批评者的观点以及其组织的使命。
Practical eCommerce：PCI安全标准的现状如何？
Bob Russo：“意识和采用似乎正在迅速增长，因为小型商户面临的风险确实在增加。他们需要在商业计划中融入这些内容才能取得成功，我认为他们意识到必须这样做。”
PEC：信用卡安全至关重要，但该领域存在众多既得利益者，因此很难获得客观视角。要厘清事实并报道真相非常困难。对此您有何看法？
Russo：“供应商总是试图引导您购买他们正在销售的产品。因此，您确实需要进行尽职调查。这也是委员会存在的意义，为您提供一个独立资源来审视所有问题，并对这些厂商试图销售的许多应用提供非偏见指导。我们在PA-DSS列表中提供了符合最低安全要求和安全最佳实践的应用程序清单。”
PEC：大约有600款购物车。每位电子商务商户都会使用其中一款。有经许可的购物车和托管购物车。目前有多少款是合规的？
Russo：“我需要查看一下，但我认为我们的网站上列出了大约30款在‘购物车’类别下获得PA-DSS批准的产品，但这只是其中一个类别。还有多个其他类别。因此，购物车可能还列在‘无卡交易’、‘支付网关’或‘支付中间件’等其他类别下。总之，我们在PA-DSS批准网站上列出的应用程序总数超过一千款。”
“对商家来说最简单的方法是询问供应商：‘你们符合PCI合规要求吗？’然后让他们表明是否符合。如果他们声称符合，但你却找不到他们的信息，就问他们为什么没有列在我们的网站上。如果你不在这个名单上，就会显得非常引人注目，尤其是因为大多数供应商现在都更加了解PCI。许多供应商会说：‘哦，我们正在走向PCI合规的路上。我们已经提交了申请’之类的话。但至少你要让他们知道你对PCI有认知，并根据他们的回答调整你的采购策略。”
PEC：Magento是用户规模最大的购物车之一，但它并未出现在批准的PCI列表中。对于那些投入资金实现合规，而一些最大提供商却未合规的小型购物车公司，您想说什么？
鲁索：“我认为最终商户和支付处理方会向这些机构施压，使其合规并确保其所有产品符合 PCI 要求。我确信 eBay（Magento 的母公司）非常关注安全问题；它是 PCI 安全标准委员会的成员。我再次鼓励读者向 Magento 提问，看看他们如何回答。eBay 对安全问题极为重视。因此，我认为迟早你会看到它们出现在 PA-DSS 名单上。”
PEC：假设我是一名商户，我向任何提供商（不仅仅是 Magento）提出这个问题，而该提供商回答说‘我们负担不起’、‘我们正在努力’、‘我们快做到了’或‘我们已满足所有要求，只是尚未提交申请’。作为商户，你会怎么做？
鲁索：“你真的需要将安全性融入你所做的每一件事中。如果你不规划安全性，你注定会在某个时刻失败，尤其是在当今的环境下。因此，我会非常仔细地权衡他们告诉你的内容。作为商户，你知道如果选择一家 PCI 合规的提供商，你至少是在一个坚实的基础上起步，而其他一些公司则试图编造故事，声称他们正在变得 PCI 合规，或者‘我们已经在做他们所说的所有事情，所以我们不需要 PCI 合规’。请在你日常生活中思考这一点。无论你购买什么，你会从告诉你这样的话的人那里买东西吗？”
PEC：PCI 的反对者认为，信用卡品牌、支付处理方和商户账户提供商都利润丰厚且依赖商户，然而这些组织无法保护自身信用卡号码的完整性，却依赖商户为他们做到这一点。反对者认为这是根本上的不公平。对此你有什么看法？
鲁索：“首先，我不同意他们认为他们没有尽一切努力的观点。如你所知，他们是成立该委员会的一部分。他们都采用了 PCI 标准作为其合规计划的基础。因此，就像你在晚上锁好生意场所以防止窃贼进入一样，你需要锁好你的组织以防止有人进来偷走你正在出售的任何东西，但在这种情况下，还要防止他们偷走你拥有的任何数据。”
“安全必须融入你制定的任何商业计划中，而且它不必花费巨资。许多要素已经商品化，我们试图根据企业规模设定适当的期望水平；因此，如今对于小型企业来说，验证其安全性比大型企业要容易得多。我们要求人们做的是非常合乎常识的事情，大多数小企业已经在做很多事情了，因为这些做法本身就是良好的商业实践。”
“我们并不是要求某人去做一些极端严厉的事情。我们只是要求你做一些合乎常识的事情来保护你的业务。我鼓励读者访问我们的网站，查看一些针对小型商家的可用指导文件。那里有很多有用的信息和文档。”
PEC：你一直对我们非常坦诚，回答了我们要提出的批评性问题。你的组织现在正在邀请关于成立新的特别兴趣小组的想法，以帮助澄清需要明确的问题。你能谈谈安全委员会的这一举措吗？
鲁索：“利益集团并非理事会的新生事物，我们已与之相伴许久；我们基本上只是在重新组织看待这些利益集团的方式。必须牢记的是，我们的参与组织不仅为理事会，也为同行带来了宝贵的市场视角，而它们正是通过这些利益集团来实现这一点的。”
“我们现在正在接受来自所有利益相关方的新特别兴趣小组的建议。委员会旗下有近700家公司参与，从最大的银行一直到可能代表您许多读者的协会。如果您是参与组织，您可以填写其中一份表格来提议成立一个特别兴趣小组。我们从现在开始收集这些表格，直到八月底结束。”
一旦我们收集到所有表单，我们的技术工作组将对这些表单进行筛选，找出定义最清晰的项目。我们会从中选出7到10个想法作为候选名单，然后联系提出这些想法的人，告知他们的方案已被采纳。如果还有进一步的问题，我们会予以解答。随后，每位负责其中一个项目的人将有机会在9月和10月参加我们在北美和欧洲举办的社区会议，向与会者展示他们的创意。如果您无法亲自出席社区会议，会议内容将会被录制下来供您观看。
在这两场社区会议之后，我们的全体成员将对这些特别兴趣小组进行投票，选出排名前三（可能为前四）的小组，并让它们运作一年。每个小组都会有明确的可交付成果。因此，我们在启动时就能清楚了解预期结果；一旦可交付成果完成，便会立即发布，供所有人使用。
PEC：对于我们的电商商家受众，您还有什么其他想分享的吗？
鲁索：“我只想重申我之前所说的话，即安全必须成为您所从事的一切工作的一部分，它必须被融入其中。我知道您之前已经听过我说过这一点，但标准具有高度规定性并详细说明了您需要做什么才能确保安全，这确实是一个真正的优势。我们并不是说您需要变得安全，然后就去变得安全；我们实际上是在告诉您一些您需要做的事情，一些您需要建立非常坚实的基础以保障业务安全的事情，这是在创业时必须做的更为重要的事情之一。”