大多数商家更倾向于信用卡行业自我监管，而非立法者介入。PCI安全标准委员会正是行业为此做出的努力。但许多电商商家对如何合规并满足PCI标准感到困惑，同时不合规的处罚也难以理解。我们与PCI安全标准委员会总经理鲍勃·鲁索（Bob Russo）进行了交谈，以帮助厘清这些问题及其他疑问。
支付卡行业安全标准委员会做什么？
鲍勃·鲁索：“支付卡行业安全标准委员会是一个制定全球信用卡保护标准的机构。我们通过多种方式实现这一目标，其中重要的一种是通过我们称为‘参与组织’的成员提供反馈。”
“由于这些是全球性标准，参与组织遍布世界各地。此外，不同垂直领域以及全球不同地区存在一些特定要求。在更新这些标准时，所有这些情况都被纳入考量。我们对每一项标准都进行生命周期管理，我们的唯一目标是在任何地方、以任何方式接受信用卡数据时保护其安全。我们的信条是：如果您存储、处理或传输信用卡数据，就必须符合这些标准以保护该数据。”
该委员会的资金来源是什么？
鲁索：“目前该委员会是自给自足的。成为委员会成员需缴纳费用，具体列在我们的网站上。因此，如果任何听众有兴趣成为委员会的参与者，帮助我们完善这些标准并推动其发展，我鼓励他们访问网站查看相关信息。”
“成为评估机构需要支付费用。我们不仅对所有评估公司进行资质审核，还每年对其进行培训。我们还为任何希望了解PCI的人士提供培训，内容涵盖从高层次概述——包括标准是什么、它们如何影响您以及为何您需要遵守它们——一直到成为评估机构的技术细节以及如何保持您的资质与时俱进。”
主要信用卡公司成立该组织是为了自我监管吗？
PEC：可以说，主要信用卡公司——Visa、American Express、MasterCard和Discover——成立该组织是为了自我监管信用卡数据的完整性吗？
鲁索：“这是一个相当准确的描述。支付卡行业安全标准委员会是行业进行非常出色的自我监管的完美典范。”
电商商家符合PCI合规性意味着什么？
鲁索：“首先，合规性是由各信用卡品牌规定的。它们都有各自的合规计划，并都使用这些标准作为每个合规计划的基础。[信用卡公司]要求合规。[委员会]并不要求合规，您也不必向我们报告您的合规情况。您需要向收单银行或直接向品牌方报告。”
“我们只负责制定标准。基本上，这些标准是行业内的一系列最佳实践。这些标准更多与安全相关，而非合规。”
“理解合规的一个好方法是：我们是那些建议您在所有门上安装死锁的人。一旦您安装了，是的，您就合规了；然而，此后每天锁上这些死锁就成了您的责任。这真正关乎的是安全，而非合规。”
“因此，如果您从安全的角度来思考，并采取基本属于最佳实践和常识的做法，合规就会随之而来，成为副产品。”
所有接受信用卡的电商商家都需要符合PCI合规性吗？
鲁索：“信用卡品牌发布的合规规则规定，如果您存储、处理或传输信用卡数据，就必须合规。无论是一张信用卡还是一百万张信用卡，您都必须符合这些标准。”
如何看待购物车PCI批准率低的问题？
PEC：根据近期实用电子商务的估计，有超过600种在线购物车，但只有约百分之十被正式列为PCI批准。您对此有何看法？
鲁索：“我认为这应该让电子商务商家提高警惕。他们首先应该做的是询问服务提供商或购物车开发者是否遵守支付卡行业数据安全标准（PCI DSS）。如果他们说不，作为电子商务商家，我会想知道原因，并且会认真考虑不使用实际上不符合该标准的产品。”
“我的意思是，在那种情况下，您的业务将面临巨大的风险。存在必须整改的阴影，也存在罚款的威胁。最大的问题在于您的声誉。如果发生数据泄露，您可能有很多客户不再回来购物。这对任何商家来说都是最糟糕的事情。”
如何确定购物车提供商是否获得批准？
PEC：即使一些购物车提供商似乎对PCI合规性感到困惑，除了询问他们的购物车提供商外，商家还有什么方法可以确定其购物车提供商是否获得批准？
鲁索：“一个很好的经验法则是，如果你在我们的列表上看不到它，那么很可能他们还没有开始任何工作。我会把它比作买一辆车并说：‘好的，这辆车的安全气囊在哪里？’而你的销售员说：‘我们正在为这辆车安装安全气囊，当我们把车交付给你时，它应该随时都在，但现在我无法向你展示一辆装有安全气囊的车型。’我会立刻跑开。我希望看到这些人符合PCI标准的证据。”
“我们现在谈论的是我[商家]的业务。应用程序供应商不会受到罚款或失去客户，受到影响的将是我[商家]。因此，最终我必须为自己的业务承担责任。”
商家应去哪里查询已批准的托管或服务提供商？
PEC：有一个单独的网站列出已批准的托管购物车或服务提供商，而已批准的授权购物车——使用PCI术语称为‘支付应用程序’——则可以在你们的网站上找到。商家应该先去哪里？
鲁索：“可能最容易的方法是访问PCI安全标准委员会网站。所有列出的信息都在那里。我们的网站最近刚刚重新设计，因此易于导航，尤其适合小型商家。”
“如果他们找不到所需的信息，可以向委员会的任何成员发送电子邮件，包括仅用于咨询的邮箱。网站上提供常见问题解答（FAQ）。如果开始输入问题且已有答案，系统会自动显示该答案；如果没有答案，则会将您的问题加入队列，并允许您提交该问题。”
“但我可以提供关于如何找到你所寻找的信息的帮助，从而绕过所有的销售宣传，直击保护信用卡数据的真正核心问题。”
不合规商家的实际后果是什么？
PEC：尽管有很多关于必须遵守PCI标准的讨论，但目前似乎没有任何不合规商家的实际后果。
鲁索：“我完全不同意。你在这里是在拿你的业务玩俄罗斯轮盘赌。虽然可能没有验证要求（也就是说，你可能不需要向任何人证明你是PCI合规的），但如果事实上你遭受了数据泄露，并且在泄露发生时被发现不符合标准，那么会有巨大的后果。”
“存在罚款风险，对于小企业而言，一笔罚款可能导致其破产。此外，还存在客户流失的风险：他们要么自行发现，要么——根据我们的泄露通知法律——被告知商家网站发生了数据泄露。还有客户因认为您（商家）未能妥善保护其信息（无论是信用卡信息还是个人信息）而不再光顾的风险。这是一个非常严重的问题。您的读者是否愿意冒俄罗斯轮盘赌般的风险？这个问题只有他们自己才能回答。”
是否有过商家因不符合PCI标准而导致额外处罚的案例？
鲁索：“绝对有。成百上千的商家经历了数据泄露，并在泄露时被发现有不符合标准的情况，并遭受了损失。不仅仅是大型商家，还包括那些在线经营的小型家庭店铺。”
“存在倒闭的风险。我说这话是认真的。去年据报道约有600起数据泄露事件。一些取证公司会发布数据泄露调查报告。例如，Verizon会根据其在过去一年中调查的所有泄露事件发布一份泄露调查报告。有多家取证公司在调查这些泄露事件，不仅是大案，小案也在调查范围内。”
“由于人们未采取非常简单、基本的措施来保护这些数据，实际发生的数据泄露事件多达数百起，甚至数千起。您应将这些标准视为基线而非上限。这仅是您应当做到的最低要求，正如良好的商业实践应致力于保护这些数据一样。”
“多家取证公司会发布数据泄露统计数据。另一家是Trustwave，我们的一位QSA（合格安全评估师），也会发布此类报告。”
“[您可以在系统中部署某种]自动检测泄露的机器人程序，或者在Google上搜索‘2010年信用卡泄露事件’，它将列出大量相关结果。”
“YouTube上有由多家不同组织发布的视频，内容涉及小型商家。其中一段由零售解决方案提供商协会（RSPA, Retail Solutions Providers Association）发布的视频讲述了一位经营餐厅的小型服务商遭遇数据泄露，面临六位数金额的罚款和成本。对于一家小型餐厅来说，这几乎导致其破产。因此，这是一件非常严肃的事情。”
PCI安全标准委员会治理董事会空缺情况介绍
PEC：我们了解到PCI安全标准委员会的治理董事会目前有一些空缺席位。请向我们介绍一下相关情况。
Russo：“我们即将开启顾问委员会的总结期。我们的顾问委员会由来自全球的21位顾问组成，因为这是一项代表所有不同垂直行业以及全球各领域的全球性标准，因此我们覆盖整个全球。”
“如果您是委员会内参与组织的一员，您可以自我提名。目前委员会内有超过600家参与组织。任何一位读者都可以加入。费用并不高昂。成为PCI安全标准委员会（PCI Security Standards Council）的成员将带来诸多益处。更多信息请访问我们的网站。”
“经过大约一个月的提名流程后，600多家参与机构开始进行在线投票，顾问的任期为两年。”
“举几个目前担任我们董事会成员的机构为例：美国银行、巴克莱卡、Chase Paymentech、Citrix、埃克森美孚、First Data、摩根大通、汉莎航空、麦当劳、MICROS、PayPal、TSYS收单解决方案、VeriFone、沃尔玛、苏格兰银行。这是一个非常多元化的群体，我们高度依赖他们提供信息，以便在多年间持续更新这些标准。”