编者注：支付卡行业合规是电子商务商家的硬性要求。PCI安全标准委员会总经理Bob Russo明确表示：“所有接受信用卡数据的商家都必须符合DSS（数据安全标准）的要求。”收单银行和处理器负责执行该标准。VISA官网亦指出，自2010年7月1日起，“收单机构必须确保其商家、VNPs（VisaNet处理器）和代理商仅使用符合PA-DSS的应用程序。”
鉴于此，Practical eCommerce将推出系列文章解答商家关于PCI合规的疑问。
支付卡行业(PCI)合规专家访谈
支付卡行业(PCI)合规是一个复杂且不可忽视的问题。Massimo Arrigoni是获许可购物车软件ProductCart开发商Early Impact, Inc.的联合创始人，对PCI合规有深入研究。在本次“快速问答”中，我们分享了他的专业见解。
Practical eCommerce：商户深知客户信息泄露会导致罚款、诉讼及信任危机，但往往不清楚具体合规措施。对于开发者和供应商而言，PCI合规是否同样令人困惑？
Massimo Arrigoni：确实如此。作为供应商，我们必须确保软件符合PCI合规要求。为此，PCI安全标准委员会推出了PA-DSS（支付应用数据安全标准）。所谓“支付应用”，指任何用于传输敏感数据的应用程序。
PeC：使用获许可的购物车似乎难以完全掌控信息安全，因为还涉及第三方托管公司等外部因素。您能解释一下这部分内容吗？
Arrigoni：判断是否符合PCI合规，需查看安全委员会提供的问卷（约12个部分）。其中涉及支付应用的问题，前提是所使用的获许可购物车已通过PA-DSS验证。即委员会确认：“该应用已通过授权供应商的安全测试审查，符合要求。”获得认可印章仅解决了众多合规领域中的一个方面。
PeC：我们在PCI安全标准网站上发现，列入PA-DSS名单的获许可（非托管）购物车寥寥无几。
阿里戈尼：这是一个耗时的过程。以我们为例，完成PA-DSS项目需数月时间。目前市面上一些电商应用可能正处于验证阶段，有望在近期被列入名单。另一种可能是供应商因财务投入（通常1万至2万美元）决定不参与。第三种情况则是申请认证失败，原因通常是应用程序代码编写不规范。
PeC：如果购物车供应商未获得认证，会产生什么后果？
阿里戈尼：若未获认证，商户将无法回答问卷中与支付应用相关的问题。商户只有两种选择：聘请合格安全评估师，或使用经过PA-DSS认证的支付应用（即PCI认证购物车）。若无此认可标志，实际上无法完成自我评估问卷。例如，万事达卡要求四级商户（小型企业）每年进行自我评估。
PeC：除了合规本身，获得这项认证是否能显著改善业务？
阿里戈尼：首要原因是这是正确的事。营销回报短期内不确定，因为小企业对PCI合规存在大量困惑，商户未必将其作为决策依据。但从长远看，随着认知提升及供应商的推广，这将带来营销回报。
PeC：针对小型电子商务商户，关于PCI合规您还有什么建议？
阿里戈尼：开户银行随时可要求提供合规状态证明；理论上，若无法证明合规，可能被禁止接受信用卡付款。此外，若发生安全漏洞导致诉讼和损害，良好的PCI合规状态将有效限制您的赔偿责任。