支付卡行业合规性对许多电子商务商家来说令人困惑，但它可能影响所有接受信用卡支付的商家。未能理解支付卡行业数据安全标准（PCI DSS）可能导致商户账户费用增加以及来自信用卡发行机构的罚款。
商户经常有一些关于 PCI 合规性的通用问题。我们就其中一些问题咨询了 nCircle 首席产品经理 Tim Erlin。nCircle 是一家提供包括 PCI 相关服务在内的网络安全咨询与合规公司。以下是这些问题及其回答。
什么是 PCI？
埃林：“PCI 通常指支付卡行业数据安全标准（Payment Card Industry Data Security Standard），即 PCI DSS。该标准由 PCI 安全标准委员会制定，该委员会是由主要信用卡品牌（Visa、Mastercard、American Express 和 Discover）组成的联盟。它合并了之前两个独立的项目：Visa 持卡人信息安全计划（CISP）和 MasterCard 的网站数据保护计划（SDP）。PCI DSS 的目标是规定一个保护持卡人数据免受泄露的共同标准。”
PCI 合规性如何影响我的电子商务业务？
Erlin：“如果您接受信用卡作为支付方式，则必须遵守 PCI DSS；在大多数情况下，小型商家可以通过使用合规的购物车和支付网关服务来实现合规，但如果您选择作为业务的一部分收集和存储信用卡数据，则需要仔细考虑 PCI DSS 的要求。”
“交易量较大的商户（每年超过 20,000 笔信用卡交易）需要完成某些特定的验证要求，以证明其符合 PCI DSS 标准。这些要求从填写自我评估问卷到由合格审计员进行现场审计不等。您可以在这里了解更多关于商户级别的详细信息。”
我可以从哪里了解更多关于 PCI 的信息？
Erlin：“支付卡行业安全标准委员会是权威信息来源，您也可以向各信用卡品牌本身寻求更多信息。”
我的年销售额非常小。我是否仍需遵守 PCI 规定？
Erlin：“所有接受信用卡的商家都必须遵守 PCI 规定，但小型商家通常通过使用合规服务来实现合规；如果您不存储、传输或处理任何信用卡数据，那么您的系统就不在 PCI DSS 合规范围内。”
我如何知道我的电子商务业务是否符合 PCI 合规性？
Erlin：“您是否存储、传输或处理信用卡数据？如果答案是肯定的，则您需要填写自我评估问卷以证明 PCI 合规性，根据您的商户级别，您可能还需要完成其他工作来证明合规性。”
“如果您不存储、传输或处理信用卡数据，但通过支付网关或商户账户提供商接受信用卡付款，那么您应该验证您的提供商是否符合 PCI 合规性。”
如果我的企业不符合 PCI 合规性，会发生什么？
Erlin：“如果您的企业不符合 PCI 合规要求，信用卡品牌可以采取各种措施，从警告和金钱罚款到完全撤销您处理交易的能力；更重要的是，PCI DSS 允许您向客户保证您正在适当保护他们的信用卡数据。”
如果我的企业符合 PCI 合规性，是否会降低我的保险责任？
Erlin：“一般来说不是，但如果您不符合合规要求并发生数据泄露，您可能会面临受影响客户的法律诉讼。”
PCI 合规性能否降低我企业的商户账户费用？
Erlin：“这通常不是这种情况，事实上，它可能会增加成本，因为商户账户提供商必须证明他们自身的 PCI 合规性，并且他们可以将这部分成本转嫁给客户。”
哪里可以找到符合 PCI 合规性的购物车和主机列表？
埃林：“不幸的是，并没有一份单一的合规购物车、主机或其他提供商的列表。然而，由于 PCI 合规性是接受信用卡支付的基本要求，所有最常见的托管购物车都符合 PCI 标准。选择具有所需功能和特性的购物车，然后验证其服务是否符合 PCI 合规性。”