这里有一个让人脊背发凉的念头：每天都有至少两种新的数据安全威胁由身份窃贼和互联网系统黑客开发出来，而且这种情况从未停止。安全专家封堵并锁上一道防线，但成群的黑客总能找到另一个漏洞并悄然潜入。
现在，再来一个真正令人毛骨悚然的现实：如果他们成功渗透并窃取了你客户的数据，那就是你的错。
如今，三分之二的州已立法规定，如果电子商务商家未能遵守数据安全标准，导致黑客、钓鱼攻击者及其他不法分子入侵其系统，则构成可起诉的违法行为。截至本文撰写时，加州即将通过《消费者数据保护法》，该法将迫使泄露数据的零售商向银行和信用合作社赔偿因数据泄露所产生的相关费用。
不要试图用“服务器不是我的，我只是租用空间”来辩解。这行不通。你收集数据，就必须保护它。支付卡行业要求（且在39个州属于法律要求）所有收集和存储客户信用卡及个人数据的实体必须遵守[支付卡行业数据安全标准（PCI/DSS）](https://www.practicablecommerce.com/articles/723/PCI-Compliance-Is-Industry-Self-Regulation/)，否则在数据泄露时将需承担由此产生的费用。目前，合规是你避免行业罚款和信用问题征费的唯一辩护理由。这听起来像是一项艰巨的任务，似乎让互联网上的生活与商业乐趣大打折扣。但有一支“反黑客”大军可以提供帮助。
什么是 PCI/DSS？
布拉德·考德威尔（Brad Caldwell）是一家名为 Security Metrics 的公司创始人之一，该公司名称颇具网络安全气息，专门从事网站数据安全性与漏洞测试。布拉德真正理解这些 PCI 相关内容，并知道如何在没有数百名 IT 员工的情况下保护自己（而你很可能根本没有这样的部门）。我们请布拉德为我们解释什么是 PCI/DSS。
考德威尔：发生的情况是，所有信用卡公司都有自己的数据安全系统和标准，而且各不相同。因此，所有大型（零售）公司都找到他们，表示需要统一的标准。于是，信用卡公司聚在一起创建了一个大家都同意的标准，也就是现在的支付卡行业数据安全标准（PCI DSS）。这一切都与卡片数据安全有关。当某个卡品牌（例如Visa、MasterCard）需要行业遵守某些安全问题时，他们会将其添加到标准中，并发布合规要求的日期。
PEC：那么问题来了，谁实际上对符合PCI/DSS或保护客户及信用卡数据负有责任？
考德威尔：这是商户的责任。商户是那些试图吸引人们在其服务器上购买商品的人。信用卡品牌已确定，确保安全性是商户的职责。我们真正讨论的是，任何收集、存储或传输卡片数据的人，基本上就是任何接受信用卡（作为支付）的人。PCI要求，任何IP地址接触任何类型数据的商户都必须接受安全性和抵御威胁能力的测试。如果你只是有一个不在线销售任何东西也不收集任何数据的宣传册式网站，你就不需要测试。现在，如果你有一个办公室，使用QuickBooks并在其中存储数据，且连接到互联网，你就必须对该防火墙和连接进行测试。
PEC：合规性、测试、防火墙、IP地址、数据存储、接触互联网，听起来既复杂又昂贵。
考德威尔：过去确实如此。在我创立Security Metrics之前，我曾在线销售Linux版的Word Perfect，当时我对黑客和安全问题非常关注。我四处寻找，当时能找到的最佳方案也要8万美元，而这仅仅是第一次评估的费用。现在则容易得多，费用也低得多。
PEC：那么，商户如何开始进行PCI合规性测试并实现合规呢？
考德威尔：嗯，他们可以首先致电像我们这样的公司。与其让商户理解所有层级的合规要求，我们的合规顾问可以通过问几个简单的问题来确定需要测试的内容以及如何进行测试。
PEC：在测试或扫描过程中，实际会发生什么？
考德威尔： 这是个好问题。我们曾接到一位客户的电话，他说：“我安排了今天上午9点的测试，但没人出现。”所谓扫描，是指我们拥有存储了成千上万种问题（漏洞）信息的系统。我们的系统会查看一个网站，并将所有这些漏洞与该网站或服务器上的情况进行比对。如果发现任何问题，它会告诉你如何修复。你修复问题后重新测试。重新测试不会额外收费。当系统显示你没有漏洞时，你需要完成一份自我评估问卷，该问卷涉及扫描无法检测到的内容，例如你的安全和隐私政策。至此，你就符合合规要求了。如果你在合规后被黑客攻击，你应该处于有利地位，因为你处于所谓的“安全港”状态。如果你处于安全港状态并遭到攻击，信用卡公司已表示不会对你处以罚款，且你可依据新法律进行有效辩护。
PEC： PEC：那么对于扫描之后或两次扫描之间才暴露出的新威胁呢？
考德威尔： 如果您使用我们这样的服务，信用卡公司会认识到您正在努力保障安全。但您可能并不安全；您可能遭遇了所谓“零日漏洞”——比如今天早上刚被发现的问题。如果没有我们这样的服务，您将陷入困境。但如果您的系统经过扫描且符合合规要求，您可以向公司声明：“我符合合规要求——一个月前我接受了测试，没有任何问题。”
PEC： 如果商家完全忽视安全问题并拒绝尝试合规，将面临什么后果？
考德威尔：嗯，当发生数据泄露事件、信用卡公司需要重新发行卡片并补偿持卡人时，总得有人为此买单。发卡行不会承担这笔费用，因为丢失信用卡号的是商户的系统。因此，通常会发生的情况是，会有一项评估要求你支付比如1万张卡片的费用。 当发生数据泄露事件，信用卡公司需要重新发行卡片并向持卡人提供赔偿时，总得有人为此买单。发卡行不会承担这笔费用，因为丢失信用卡号码的是商家。因此，通常会发生的情况是，会有一个评估结果要求您支付例如10,000张卡片的费用。
PEC： 是否存在商家可能面临刑事责任的场景？
考德威尔：目前有39个州制定了保护信用卡数据的法律。我们已收到信用卡品牌方的请求，希望我们的数据可作为证据使用。目前尚未出现刑事案件，但我们看到民事起诉正在提起——例如TJ Maxx案。但我认为大规模刑事起诉即将发生。若无法证明您符合PCI DSS合规要求，一旦您的数据遭到泄露，您将面临起诉责任。 目前已有39个州制定了保护信用卡数据的法律。信用卡品牌方已要求我们将我们的数据作为证据用途。虽然我们尚未看到刑事案件，但我们正目睹民事起诉的提起——TJ Maxx案便是一个例子。但我认为，大规模刑事起诉将会出现。如果没有PCI DSS合规认证，一旦您的数据遭到泄露，您将面临被起诉的责任。
PEC： 如果商家不知道自己是否符合合规要求，应从何处着手？
考德威尔：他们可以把我们（或像我们这样获得支付卡行业认证的公司）叫来。我们的顾问会询问有关网站的一些问题，比如他们如何处理银行卡、如何存储数据以及隐私和安全政策。他们会一边在电话里交谈，一边查看该网站。根据那次谈话和我们风险评估控制台上的情况，我们可能会建议扫描一个或多个IP地址。我们的服务费用为每个IP地址每年140美元（两个IP地址199美元），提供季度扫描和评估。商户收到我们的评估报告后，需要查看并修复可能出现的任何漏洞。商户也可以随时自行进行手动扫描，无需额外付费。例如，他们可能想通过扫描来检查他们的修复措施是否有效。商户可能需要像对待计算机上的防病毒软件一样考虑PCI/DSS合规性。这是现实生活中的事实。在当今互联网庞大的世界中，数百万台计算机访问系统，收集他人的数据却不加以保护是不可想象的。现在的情况是，责任在于商户。这正是PCI/DSS的核心所在。好的是，像Security Metrics这样的公司使得合规和保护自己及客户变得简单且相当实惠。
SecurityMetrics是一家合格支付应用安全公司（QPASC），提供具有漏洞评估、入侵检测和入侵预防功能的安全设备服务。该公司拥有超过80万客户。这是一家总部位于犹他州奥勒姆的私营公司。