主要信用卡
卡发行商制定了支付卡行业（PCI）合规标准，旨在保护个人信息并确保支付卡交易安全。所有支付卡行业成员（包括金融机构、信用卡公司及商户）若需受理信用卡，均须遵守该标准。未达合规要求可能导致罚款，甚至被取消信用卡处理资格。
零售商须满足以下六类 PCI 标准方被视为合规：
维护安全的网络
此标准涉及持卡人数据所处的实际网络环境。对在线业务而言，Web 服务器是最明显的潜在漏洞点，尽管多数托管公司负责保障网络安全，但企业自身仍需注意：是否将持卡人数据（含姓名）存储于连接公共网络的笔记本电脑？办公网络是否部署防火墙并采取合理安全措施？
简言之，凡存储持卡人个人信息的计算机若同时联网，必须置于防火墙之后，并已落实一切合理防护措施。
保护持卡人数据
此标准聚焦持卡人数据的存储与传输安全。选择存储持卡人信息的企业有义务确保数据安全，即限制访问权限。通常，存储真实信用卡号的企业会对数据进行加密，防止数据库被非法访问时信息泄露。
电商企业尤需关注数据传输环节。顾客在网站购物时，其持卡人信息经互联网传输，为满足合规要求，该过程必须采用至少128位SSL证书加密。
维护漏洞管理计划
此项要求相对明确，即保持系统及时更新。定期升级硬件、操作系统及软件可最大限度减少漏洞暴露风险。此外，安装最新防病毒软件并定期执行病毒扫描，也是满足该标准的必要措施。
实施严格的访问控制措施
人为因素是安全领域最易被利用且最难防范的漏洞。PCI合规要求将持卡人数据访问权限严格限定于确有需要的员工。除限制物理访问外，企业主还须为每位获授权人员分配唯一身份标识。
定期监控和测试网络
存储持卡人数据的网络须接受定期监控与测试。企业应定期扫描安全措施与流程，并对持卡人数据的网络访问进行跟踪记录。建议注册类似ScanAlert Hacker Safe等安全测试与审计服务，以便及时发现并修复潜在安全问题。
制定信息安全政策
鉴于人为疏忽常为系统薄弱环节，且“不知情”不能作为免责理由，制定并推行全员信息安全政策至关重要。务必确保员工在问题发生前充分理解其在持卡人数据保护方面的职责。
实现PCI合规的首要步骤是满足上述六项标准。信用卡公司及金融机构将验证供应商合规情况，并依据交易量进行评级，不同评级对应不同的验证流程。下期我们将详解四种验证评级及其对企业的具体影响。