编者注：支付卡行业（PCI）合规性几乎是所有电子商务商家的必备要求，但也是一个复杂且令人困惑的话题。鉴于此，Practical eCommerce 发布了一系列文章，旨在解答商家关于该问题的疑问。
在今天的文章中，我们采访了 PCI 安全标准委员会首席技术官 Troy Leach。在委员会任职期间，Leach 开发并实施了一套全面的质量保证计划。加入委员会之前，他在美国运通（American Express）领导事件响应项目，审查了 300 多起账户数据泄露案例。过去 15 年里，他曾担任系统管理、网络工程、IT 管理、安全评估和法医分析等职位。
实用电子商务：与我们交谈的商家中似乎对谁真正主导整个 PCI 合规问题存在混淆。那么，我们不妨先从讨论委员会开始？它是如何成立的？由谁创建？其角色是什么？
特洛伊·利奇：“PCI 委员会成立于 2006 年，由五大主要支付品牌组成，即 American Express、Discover Financial、JCB、MasterCard International 和 Visa 公司。委员会的目标是创建一个标准机构和安全框架，规定持卡人数据在如何处理、存储或仅通过网络传输时都需要受到保护。在过去 10 到 15 年里，针对持卡人数据的攻击手段日益复杂。各支付品牌独立开发了各自的安全计划来保护这些数据。
Troy Leach
“2006 年，他们决定联合起来，通过制定行业认可的关于如何保护这些数据的最佳实践和要求，从而减轻商家的合规工作负担。
“因此，虽然每个独立的支付品牌仍然维持着自己的合规计划，但现在商家有机会清晰地表达对这些要求应如何制定的意见，并向其商户银行或直接支付银行展示其合规性。”
PeC：我们接触过的商家以及收到反馈的商家都对他们需要做什么感到困惑。是否有一份通用的合规标准清单，商家可以简单地勾选？是否有相对简单的检查清单可供他们遵循？
利奇：“这取决于他们的商业模式。对于某些商家来说，这一过程非常简单；而对于那些拥有更复杂网络或更复杂业务结构的商家来说，至少验证起来的要求可能会变得有些困难。因此，如果我可以的话，我将通过几个例子进行说明。
“首先，如果我是一名将所有处理工作外包给第三方的商户，而该第三方能够向我证明其已通过某种形式的 PCI 合规性验证，那么我向我的商户银行展示 PCI 合规性的努力就会非常简单。我只需要完成有限的一组活动。
另一方面，如果我正在开发自己的应用程序来处理信用卡信息，或者管理传输敏感信息的自有网络，我的义务就会更高，并且我必须遵守所谓的 PCI 数据安全标准，这是一项旨在适用于商户和服务提供商的标准。任何处理持卡人信息的人都必须遵守数据安全标准。委员会还管理着其他几项标准，这些标准可能有助于商户完成相关流程。支付应用数据安全标准旨在适用于开发此类商业产品的支付供应商。因此，如果我是一名购买商业产品 [以处理或存储信用卡信息] 的商户，并希望减少我在数据安全标准方面的 PCI 合规工作，我可以访问委员会的网站，例如查看那些已通过该流程的应用程序，这些应用程序已根据支付应用数据安全标准进行了验证，这将减少我成为 PCI 合规的整体工作量 [如果我使用其中一家获批准的供应商]。”
PCI 安全委员会主页的屏幕截图。
PeC：我们从商户那里听到的一件事是，他们对必须为发卡机构（如 Visa）或商户账户提供商（如美国银行）经历重重繁琐程序感到愤怒和沮丧。他们反感 looming 的罚款威胁。另一方面，我们听到人们说：“嗯，有些东西必须改变。行业需要某种监管。否则，客户将面临数据泄露的风险。”你在这里与各方都有过接触。你如何尝试找到一些中间立场？
利奇：“这是一个很好的问题，因为商户——尤其是当他们第一次听说某种需要他们证明的要求时——会感到沮丧。我们在委员会内部称之为‘悲伤的五个阶段’，因为可能缺乏对这一点对行业如此关键的原因的理解。我们希望在未来几年内实现的是，让商户更好地理解并教育他们，如果他们采取适当的步骤来保护持卡人数据，这不一定需要花费大量时间。
“我注意到一个趋势，尤其是在小型商户中。他们认识到自己内部没有专门的 IT 团队。他们没有专门的安全人员来支持持续的安全工作。他们需要外包给拥有这种安全技能集、并且对支付流程运作方式有基本理解的服务提供商。
“大多数商户对流程如何运作漠不关心，对吧？他们希望接收客户的卡片信息，希望处理这些信息，并希望这笔钱能出现在他们的银行账户中。他们希望这些流程的细节和安全措施已经到位，但这真的不是他们的核心业务。因此，我开始看到的是小型商户对减少自身足迹和持卡人数据兴趣的增长。我们看到小型商户经常提出一个非常好的基本问题：‘我真的需要这些持卡人信息吗？’而答案往往是否定的。因此，存在重新构建其处理模式的机会，使得即使要成为 PCI 合规也变得非常容易。
“我看到行业中出现了一种动向，即小型商户将越来越依赖那些拥有安全知识、具备支付处理知识并能为更多小型商户提供杠杆效应的行业参与者。”