欢迎来到 首届PCI报告卡。在之前的Practical eCommerce报告卡中，我们一直明确列出正在评估的商户名称。然而，在处理支付卡行业数据安全标准（PCI DSS）等安全问题时需谨慎。由于涉及面向公众网站的漏洞等敏感话题，必须对商户身份进行匿名化处理。
Merchant X是一家摄影配件在线零售商，通过Volusion托管购物车处理电商交易及电话订单。Merchant X委托Practical eCommerce对其网站进行PCI合规性评估。PCI DSS由12项要求组成，旨在保护持卡人数据。商户必须符合该标准，且在特定情况下需经认证的第三方合格安全评估员（QSA）或批准扫描供应商（ASV）验证合规性。
Merchant X使用了nCircle Network Security的PCI扫描服务执行外部扫描，nCircle为PCI批准的扫描供应商。更多PCI数据安全标准信息（含QSA和ASV详情）可从PCI安全委员会获取。
根据Merchant X提交的信用卡交易量及数据存储情况，其属于第4级商户（年交易量少于2万笔）。PCI合规性要求如下：
| 级别 | 描述 | 年度现场审计？ | 年度自我评估问卷？ | 季度外部网络扫描？ |
| 1 | 每年处理超过600万笔交易，或曾遭受账户数据泄露的商户 | 是 | 是 | 是 |
| 2 | 年交易量在100万至600万笔之间的商户 | 否 | 是 | 是 |
| 3 | 年电商交易量在2万至100万笔之间的商户 | 否 | 是 | 是 |
| 4 | 年电商交易量少于2万笔，或通过其他渠道处理高达100万笔交易的商户 | 否 | 是 | 是 |
上述等级适用于Visa和MasterCard。American Express虽仅有三个等级，但合规验证要求基本一致。
对要求的理解
PCI合规要求取决于客户信用卡数据处理方式及既定商户等级。首先应确认是否确实需要符合PCI DSS。PCI安全标准委员会发布的“Navigating PCI DSS”文件指出：“主账号（PAN）是决定PCI DSS和PA-DSS适用性的关键。若未存储、处理或传输PAN，则两者均不适用。”
Merchant X不存储或处理PAN，支付完全由Volusion负责传输相关数据，商户无法访问持卡人数据。因此，因未以电子方式存储、处理或传输持卡人数据，Merchant X无需符合PCI DSS。其少量电话订单亦非电子处理。
Merchant X在“对要求的理解”方面仅获D级，因其未先行确认PCI DSS的整体适用性。此外，Merchant X未经授权即对支付网关启动自动扫描。扫描前必须声明拥有网站扫描权，否则可能引发法律后果。支付网关应自行负责PCI合规，商户也应予以核实。
尽管确定PCI DSS不适用于Merchant X，但仍值得评估报告卡中的其他标准。
漏洞概况
PCI合规要求商户解决公开网站上CVSS基础评分≥4.0的漏洞。CVSS衡量漏洞风险与影响，分值为0-10。更多信息可参考：http://www.first.org/cvss/
Merchant X扫描了本不应访问的支付网关，但网站整体状况良好，仅存在一个需修复才能合规的安全漏洞。除Volusion托管购物车外，Merchant X还使用了第三方托管公司。在该服务器上，Microsoft IIS 6.0配置支持小于128位的加密密钥。密钥长度决定加密强度，小于128位安全性最低。Merchant X可能无法自行更改此配置，需由托管提供商修复。
在网站安全维护方面，Merchant X获得扎实的B+评级。
应用程序概况
PCI标准要求公共IP上的应用程序保持受支持版本并安装必要补丁。因缺乏评估应用过时性的通用评分系统，由ASV判断哪些应用不再受支持。
Merchant X在第三方托管的Windows Server 2003上运行Microsoft IIS 6.0。目前操作系统及应用均获Microsoft支持，且无待处理补丁。这表明Merchant X通过托管商有效保持了外部应用最新状态，值得A级评价。
仅启用必要服务
不必要服务常是未检测漏洞或攻击信息的来源。PCI要求主机仅运行必要服务以降低风险。虽然第三方无法百分百确定服务必要性，但某些服务（如telnet）在公共网站上极少有业务需求，不应向互联网开放。常见服务（如邮件）应隔离至独立服务器。
Merchant X在此项获B+评级。尽管安全措施严密，但该IP运行了多项服务，包括Web服务器的HTTP和Microsoft IIS FTP。这些服务可能由托管商控制：HTTP为网站必需，FTP可能用于内容更新。服务器可进一步加固，但FTP服务中未发现漏洞。
总体合规性
总体合规性评级较难界定。一方面，Merchant X主动确保PCI合规（尽管不适用），值得A+；另一方面，其未填写自我评估问卷（SAQ），而SAQ本是比网络扫描更合适的第一步，有助于确定PCI DSS适用性及方式。SAQ可从PCI安全标准委员会或ASV处获取。
最终折中给予Merchant X总体合规性C分。其努力值得肯定，但步骤顺序不完全正确。
PCI成绩单
零售摄影网站要求理解：D
漏洞概况：B+
应用概况：A
仅必要服务：B+
总体合规性：C总平均绩点（GPA）：C+
相关文章
- PCI合规是“行业自律”
- 什么是PCI合规？商户应为此担心吗？
- 谨慎卖家：PCI已到来