大多数商家更倾向于信用卡行业自我监管，而非立法者介入。PCI安全标准委员会正是业界为此做出的努力。然而，许多电商商家对如何合规并满足PCI标准感到困惑，同时对于不合规的处罚也难以理解。我们与PCI安全标准委员会总经理鲍勃·鲁索（Bob Russo）进行了交谈，以帮助厘清这些问题及其他疑问。
实用电子商务：PCI安全标准委员会做什么？
鲍勃·鲁索：“PCI安全标准委员会是一个制定全球信用卡保护标准的机构。这是通过多种方式实现的，其中重要的一种是通过我们称为‘参与组织’的成员提供反馈。”
“由于这些是全球性标准，参与组织遍布世界各地。不同垂直行业以及全球不同地区都有其特有的事项，在更新这些标准时，所有这些情况都会被纳入考量。我们对每一项标准都遵循生命周期管理流程，我们的唯一目标就是无论信用卡数据在何处被接受，都要保护其安全。核心原则是：如果您存储、处理或传输信用卡数据，就必须符合这些标准以保护该数据。”
PEC：该委员会的资金来源是什么？
鲁索：“目前该委员会是自筹资金的。成为委员会成员的关联费用列在我们的网站上。因此，如果您的任何听众有兴趣成为委员会的参与者，帮助我们完善这些标准并推动其发展，我鼓励他们访问网站查看相关信息。”
“成为评估机构需要缴纳费用。我们不仅对所有评估公司进行资质审核，还每年对其进行培训。此外，我们还为任何希望了解PCI（支付卡行业数据安全标准）的人士提供培训，内容涵盖从关于标准是什么、如何影响您以及为何需要合规的高层概述，到成为评估人员的技术层面以及如何保持资格认证的持续更新等各个方面。”
PEC：可以说主要的信用卡公司——Visa、American Express、MasterCard和Discover——创建了这个组织以自我监管信用卡数据的完整性吗？
鲁索：“这是一个相当准确的描述。PCI安全标准委员会是行业进行非常出色的自我监管的完美典范。”
PEC：你能解释一下电商商家符合PCI合规意味着什么吗？
鲁索：“首先，合规性是由各信用卡品牌规定的。它们都有各自的合规计划，并且都使用这些标准作为每个合规计划的基础。[信用卡公司]要求合规。[委员会]并不要求合规，您也不向我们报告您的合规情况。您要么向收单银行报告，要么直接向品牌方报告。”
“我们仅负责制定标准。基本上，这些标准是行业内的一系列最佳实践。这些标准更侧重于安全性，而非单纯的合规性。”
“理解合规性的一个好方法是：我们是那些建议您所有门都应安装死锁的人。一旦您安装了，是的，您就合规了；但此后，每天锁好这些死锁就成了您的责任。这实际上关乎的是安全性，而不是合规性。”
“因此，如果从安全角度思考，并践行那些基本的最佳实践和常识，合规性就会作为副产品随之而来。”
PEC：所有接受信用卡支付的电商商家都需要符合PCI合规吗？
鲁索：“信用卡品牌发布的合规规则规定，如果您存储、处理或传输信用卡数据，就必须合规。无论是一张信用卡还是一百万张信用卡，您都必须符合这些标准。”
PEC：根据最近实用电子商务的估计，有超过600种在线购物车，但只有大约百分之十被正式列为PCI批准。你对此怎么看？
鲁索：“我认为这应该为电子商务商家敲响警钟。他们首先要做的是询问服务提供商或购物车开发者，他们是否符合 PCI 标准。如果他们说不符合，作为电子商务商家，我想知道原因。并且我会认真考虑不使用实际上不符合该标准的产品或服务。”
“这意味着您在当时正拿自己的业务冒巨大的风险。存在必须整改的阴影，也存在罚款的风险。最大的问题在于您的声誉。如果发生数据泄露，您可能有很多客户不再回来购物。这对任何商家来说都是最糟糕的事情。”
PEC：甚至一些购物车提供商似乎对 PCI 合规性感到困惑。除了询问他们的购物车提供商，商家是否有办法确认其购物车提供商是否已获得批准？
鲁索：“一个经验法则是，如果某家公司不在我们的名单上，那么他们很可能还没有开始任何工作。我会把它比作买车时说：‘这辆车的安全气囊在哪里？’而销售员回答：‘我们打算在这辆车上安装安全气囊，等车交付给你时应该就会有，但现在我没法向你展示一辆已经装有安全气囊的车。’我会立刻远离这种情况。我希望看到这些公司符合PCI标准的证据。”
“我们现在谈论的是我的[商户的]业务。应用程序供应商不会受到罚款或失去客户，而是我[商户]会这样。因此，最终我必须为自己的业务承担责任。”
PEC：有一个单独的网站列出了已批准的主机购物车或服务提供商，以及已批准的许可购物车——使用 PCI 的术语来说，即“支付应用程序”——则可以在您的网站上找到。商家应该首先去哪里？
鲁索：“最简单的方法是访问PCI安全标准委员会网站。所有列表都在那里。我们的网站最近刚刚重新设计，因此易于导航，尤其是对小型商户而言。”
“如果他们找不到自己想要的内容，他们可以发送电子邮件给委员会的任何人员，包括仅向委员会询问问题。网站上有一个常见问题解答（FAQ）。如果你开始输入一个问题并且它有答案，它会显示给你。如果没有答案，它会将你放入问题队列并允许你提出该问题。”
“但如果你不想经历那个过程，我可以告诉你某事是否在队列中，或者正在接受评估并向委员会提交信息，或者你是否在特定的申请中；我可以提供关于在哪里找到你所寻找的信息，以绕过所有的销售宣传，直击保护信用卡数据的真正核心问题。”
PEC：尽管人们经常谈论必须遵守PCI标准，但迄今为止，不合规的商家似乎并未受到任何实际影响。
Russo: “我完全不同意。你在这里拿你的业务玩俄罗斯轮盘赌。虽然可能没有验证要求（也就是说，你可能不需要向任何人证明你是PCI合规的），但如果实际上你遭受了数据泄露并且在发生此泄露时被发现不符合合规性，那么会有巨大的后果。”
“有罚款，而对于小企业来说，罚款可能会 literally 让他们破产。还有顾客离开的阴影，因为他们要么已经发现，或者——根据我们的泄露通知法律——有人告诉他们泄露发生在商户的网站。还有他们不再与商户购物的阴影，因为他们觉得你[商户]没有保护他们的信息，无论是信用卡信息还是个人信息。这是一个非常严重的问题。你的读者愿意玩俄罗斯轮盘赌吗？只有他们能回答这个问题。”
PEC：是否存在因商户不符合PCI标准而导致其遭受额外处罚的违规事件？
鲁索： “绝对如此。成百上千家商户遭遇了数据泄露事件，并被发现在泄露发生时未能达到合规要求，从而蒙受损失。这不仅仅发生在大型商户身上，那些在线经营的小型家庭式店铺也同样受害。”
“面临倒闭的阴影。我的意思是情况非常严重。我认为去年大约有600起报告在案的泄露事件。有一些由[法医取证公司]发布的泄露调查报告。例如，Verizon会根据其过去一年调查过的所有泄露事件发布一份泄露调查报告。市面上有许多法医取证公司在调查这些泄露事件；不仅针对大型事件，小型事件也在调查之列。”
“你所说的实际上是数百起，甚至数千起泄露事件，这是因为人们没有采取保护这些数据所需的那些非常简单、基本的措施。你应该将这些标准视为基准线，而非上限。我的意思是，这是你应该做的最低限度要求，就像良好的商业惯例是保护这些数据一样。”
“有一些法医取证公司发布的泄露统计数据。[我提到过] Verizon。另一个是Trustwave，我们的一家QSA（合格安全评估机构），他们也发布这类数据。”
“[你可以]在你的系统中部署某种机器人来查找泄露事件，或者去Google搜索‘2010年信用卡泄露事件’。它会列出大量相关信息。”
“YouTube上有许多不同组织发布的视频，讨论小型商户的情况。由零售解决方案提供商协会（RSPA）发布的一个视频讲述了一位拥有餐厅的糟糕供应商的故事。他遭遇了数据泄露，并遭受了六位数范围的罚款和成本。对于一家小型餐厅来说，这几乎 literally 导致他们破产。所以，这是一件非常严肃的事情。”
PEC：您提到的那段视频是由行业制作的，对吗？
Russo：“是的，它是由转售商制作的。”
PEC：我们了解到支付卡行业安全标准委员会（PCI Security Standards Council）的治理董事会目前有一些空缺席位。请向我们介绍一下相关情况。
Russo：“我们即将开启顾问委员会的总结期。我们的顾问委员会由来自全球的21位顾问组成，因为这是一项全球性标准，代表了所有不同的垂直行业以及所有全球领域，因此我们覆盖了整个世界。”
“如果你是理事会内参与组织的一员，你可以提名自己。目前理事会有超过600家这样的参与组织。你的任何读者都可以加入。费用一点也不高。成为PCI安全标准委员会的成员将带来诸多好处。更多信息请访问我们的网站。”
“一旦我们完成大约一个月的提名流程，那600多家或更多的参与组织便开始进行在线投票，顾问将被选举出来，任期两年。”
“为了举例说明目前在我们董事会任职的一些人，我们有美国银行、巴克莱卡、Chase Paymentech、Citrix、埃克森美孚、First Data、摩根大通、汉莎航空、麦当劳、MICROS、PayPal、TSYS收单解决方案、VeriFone、沃尔玛、苏格兰银行。这是一个非常多元化的群体，我们 heavily 依赖他们提供信息，以便多年来不断更新这些标准。”