支付卡行业（PCI）安全标准委员会近日发布数据安全标准（DSS）新版本，对在线商户保护客户数据及避免罚款的合规要求进行了重要修订与澄清。为帮助业界理解新规，该委员会将于2008年11月25日及12月17日举办免费网络研讨会。
此次变更主要涉及条款澄清、内容扩展，并针对特定网络场景新增了详细测试标准。
PCI安全标准委员会由美国运通、Discover Financial Services、JCB International、MasterCard Worldwide及Visa Inc.等主要信用卡品牌联合成立，旨在制定保障在线交易安全的行业标准与最佳实践。需注意的是，PCI标准属于行业自律规范而非法律法规，其核心在于维护信用卡信息的机密性与完整性。未达标的在线商户不仅会使客户面临风险，还可能遭受行业罚款等惩戒措施。
PCI安全标准委员会总经理Bob Russo强调：“凡接受、传输、处理或存储支付卡持卡人数据的零售商，均须符合PCI DSS要求。普及该标准的关键第一步，是让组织充分理解相关要求及期望。本次网络研讨会旨在进一步教育零售商群体，明确标准内涵及其实际意义。”
PCI DSS 网络研讨会安排
关注新版（1.2）PCI DSS的商户可参加以下免费在线演示：
- 2008年11月25日：东部标准时间上午11:30或晚上7:30
- 2008年12月17日：东部标准时间上午10:30或晚上8:30
PCI DSS 十二项核心要求
PCI DSS是一项涵盖安全管理、政策流程、网络架构、软件设计及关键防护措施的多维度安全标准。商户必须满足以下六大类共12项要求：
建立和维护安全的网络
要求1：安装并维护防火墙配置以保护持卡人数据。
要求2：禁止使用供应商提供的默认系统密码及其他安全参数。
保护持卡人数据
要求3：妥善保护存储的持卡人数据。
要求4：在开放公共网络上传输持卡人数据时必须加密。
维护漏洞管理计划
要求5：使用并定期更新防病毒软件。
要求6：开发并维护安全的系统与应用程序。
实施严格的访问控制措施
要求7：基于业务需求限制对持卡人数据的访问权限。
要求8：为每位拥有计算机访问权限的人员分配唯一ID。
要求9：严格限制对持卡人数据的物理访问。
定期监控和测试网络
要求10：跟踪并监控所有对网络资源及持卡人数据的访问行为。
要求11：定期测试安全系统和流程。
维护信息安全策略
要求12：制定全面的信息安全政策。
PCI合规相关资源
- PCI安全标准委员会官方信息
- PCI数据安全标准详解
- PCI DSS版本1.2支持文件
- PCI DSS标准全文