在为 Practical eCommerce 撰写一系列关于 PCI 合规性的文章而采访众多专家时，一个核心问题逐渐清晰：执行力缺失。商户普遍困惑于不合规的后果——是否会丧失信用卡收款资格？罚款金额几何？由于缺乏明确答案，猜测盛行，这让苦心经营业务的商家难以安心规划未来。
为此，我采访了购物车提供商 Miva Merchant 执行副总裁 Rick Wilson。他深入研究后认为，支付卡行业数据安全标准委员会（PCI SSC）在“执法”层面存在失误，亟需纠正。
模糊性引发焦虑
Wilson 理解电商商家对合规执行力度不明的挫败感。“至少对我们而言，做出这一决定……我们非常认真地对待 PA-DSS 和 PCI 合规性，这是一项价值数十万美元的决策……而我们与商家处于同一境地。我们完全不知道合规性要求最终会如何落实。”
Rick Wilson
这种不确定性导致商家感到威胁和恐惧，而不道德者正利用这种恐惧牟利。
投机取巧与掠夺性做法
Wilson 呼吁 PCI SSC 遏制商户账户提供商的掠夺性行为，即不必要地征收“PCI 合规费”。虽然服务商有权建议扫描，但有时商家已合规。
例如，无品牌独立销售组织（ISO）可能声称：“你不符合 PCI 合规要求，必须使用我们的扫描服务。”即便客户回应：“我已通过一级服务提供商认证”，对方仍坚持：“但我们的要求是使用这家特定公司。”这种重复付费毫无意义。
“这令人愤怒，我认为 PCI 安全委员会应该对此采取一些措施，”Wilson 表示。
需要做出的改变
Wilson 主张 PCI 认证应更加客观：“我应该能够向 Visa 和 MasterCard 提交我的 PCI 认证，而不让我的商户账户公司对其有效性发表任何意见。它要么有效，要么无效。这应该是由 PCI 安全理事会定义的一个客观标准。”
光谱的两端
PCI SSC 的目标值得称赞：“通过推动对 PCI 安全标准的教育和宣传，增强支付账户数据的安全性。”对于互联网业务而言，数据泄露不可接受。业内普遍认为，无法满足或证明系统安全的支付应用提供商将面临洗牌。
鲍勃·鲁索
PCI SSC 总经理鲍勃·鲁索表示：“我们不指望商户成为安全专家，但期望他们知道自己在保护数据方面负有责任。”他认为询问提供商是否具备 PCI 合规性通常足够。
但这实际上并不充分。出于恐惧，商户易在安全服务和扫描上过度付费；因缺乏充分理解，更易受前述牟利者侵害。除非委员会从源头阻止此类行为，否则商户将持续处于脆弱境地。