编者注：支付卡行业（PCI）合规是几乎所有电子商务商家的必备要求，但也是一个复杂且难以理解的话题。鉴于此，Practical eCommerce 与在 PCI 事务方面具有专业知识的 Coalfire IT Audit and Compliance 合作，推出一系列文章旨在解答商家关于 PCI 合规的问题。在本系列第一篇文章中，我们获得了 Coalfire 联合创始人兼总裁 Rick Dakin 的见解。Dakin 拥有超过25年领先IT公司高级管理经验，擅长帮助客户制定平衡的方法以建立有效的 IT 治理和监管合规计划。
不同规模企业的 PCI 合规要求
Practical eCommerce：假设一家企业年营业额为 70 万美元，每年处理约 13,000 笔信用卡交易，它需要做些什么才能符合合规要求？
Rick Dakin：首先，请审查 PCI 数据安全标准，确定适用于您业务环境的控制领域。确保已实施经批准的支付应用程序、限制对持卡人数据及物理/计算机访问的控制措施以及其他安全控制。
确认相关控制措施到位后，请访问 PCI 安全标准委员会网站下载资格表，以确定应提交的合规报告级别。若年交易量仅为 13,000 笔，属于第 4 级商家，在合规验证要求上有一定选择空间。
通常情况下，您必须从经批准的扫描供应商（ASV）处获得季度外部漏洞扫描结果，并每年完成一份自我评估问卷（SAQ）。适合您的 SAQ 类型将在 PCI SSC 链接所列的资格流程中明确。
作为可选方案，Coalfire（一家 PCI 合格安全评估机构）提供包含资格流程的在线 SAQ 表单，可协助您选择合适的合规测试程序。
小型电商不合规的风险
PeC：如果我们不进行 PCI 合规，被发现的几率有多大？
Dakin：目前很少有收单银行为第 4 级商户实施全面的 PCI 合规验证计划，但不合规被发现的几率正日益增加。不过，处理器直接识别不合规并开始罚款的可能性较小。更可能的情况是，僵尸网络程序会识别您的网站并加载恶意软件收集持卡人数据，供网络犯罪分子进行欺诈。第 4 级商户遭受入侵的数量正以惊人速度增长。
发生数据泄露时，法医调查员将评估您的 PCI 合规水平并判定是否违规。因此，所有在您受感染系统上进行的欺诈行为所产生的损失都将向您追偿。这一账户数据泄露恢复（ADCR）流程使卡品牌能够直接从您处收回损失。随着网络犯罪技术精进，即便仅有 1,000 张卡片泄露，损失通常也超过 50,000 美元。
此外，处理器正日益重视验证商家仅使用符合 PCI 标准（或经 PA-DSS 验证）的支付应用程序（包括购物车软件）。随着 PA-DSS 验证截止日期临近，这可能会增加您在 2010 年被认定为不合规的风险。