Visa、MasterCard、Discover 和 American Express 四大信用卡公司共同制定了支付卡行业数据安全标准（PCI DSS），作为最低支付处理安全要求。与这些公司合作的商户及服务商均须遵守该标准。需明确的是，PCI 标准并非法律，而是信用卡行业的自律规范。
本文特邀 PCI 合规专家、nCircle 产品营销经理 Sweta Duseja 进行解读。
PeC：PCI 合规性属于行业自律规范而非法律，能否具体解释？
DUSEJA：各行业均有安全隐私要求，部分为法律法规（如医疗行业的 HIPAA、上市公司的《萨班斯-奥克斯利法案》），部分则为自律标准。PCI DSS 即属于后者，由四大信用卡公司制定。其核心逻辑是：商户若希望通过信用卡或借记卡收款，就必须遵守 PCI 标准。
PeC：信用卡公司如何对商户执行这些标准？
DUSEJA：执行主要依赖商户银行。虽然发现漏洞可能导致罚款，但实际处罚较为零星且多不公开。真正的驱动力在于客户信任：数据泄露风险会促使消费者仅选择可信商户交易。此外，VISA 会对合规率高的商户银行给予奖励，包括降低交换费。
PeC：请总结商户为满足标准需遵循的核心要求。
DUSEJA：商户应始终遵循以下四条基本规则：
- 仅收集交易所必需的数据；
- 仅存储符合 PCI 标准明确规定的卡片数据；
- 确保所有卡片数据安全存储；
- 确保通过支付网关安全传输卡片数据。
PeC：商户如何证明其符合标准？
DUSEJA：PCI 标准按交易量将商户分为四个等级，合规验证方式如下：
- 所有商户：必须保留经 PCI 安全标准委员会认证的 Approved Scan Vendor，执行并提交季度外部网络扫描报告。
- 一级商户：除季度扫描外，还必须接受合格安全评估师（QSA）的年度现场审计。
- 二至四级商户：需填写并提交年度自我评估问卷（SAQ），其详尽程度不低于现场审计。
更多详情可访问 PCI 官网 pcisecuritystandards.org。