若您的业务处理 Visa、Mastercard 等主流支付品牌的信用卡信息，必须符合支付卡行业（PCI）合规要求。
PCI 合规性是由主要支付提供商制定并执行的 12 项安全标准，旨在帮助零售商保护客户财务信息，防止数据泄露与窃取。虽非法律强制，但商户在与信用卡品牌签约时已承诺遵守该标准。
因此，无论客户通过实体 POS 进行非接触式支付，还是在电商网站在线下单，您均需了解 PCI 合规性及其 12 项安全增强标准。
什么是 PCI 合规性？
PCI 数据安全标准（PCI DSS）是一套保护持卡人信息、防范欺诈的最佳实践准则，所有接受信用卡支付的零售商均须遵守。
维持 PCI 合规性包括定期更新软件、设置强密码保护及保留数据访问日志等安全措施。
该标准由万事达卡、Visa、Discover 和 American Express 等主要支付品牌组成的 PCI 安全标准委员会（PCI SSC）于 2006 年创建并持续完善，要求所有与其服务交互的零售商必须合规。
PCI DSS 合规级别
支付品牌通常根据零售商年交易量划分 PCI“级别”，不同级别可能对应不同的额外合规要求。
请查阅与支付处理服务商的协议或咨询收单银行，以确定适用于您业务的 PCI 级别。各支付品牌对级别的定义可能存在差异。
例如，Mastercard 对其四个 PCI 级别的定义如下：
💡 你知道吗？ 所有由 Shopify 驱动的商店默认均为一级 PCI 合规。
谁必须符合 PCI 合规性？
只要您的业务接受信用卡支付，所使用的软件和托管服务就必须符合 PCI 合规要求。
任何处理、接收、传输或存储支付卡数据的企业，无论规模大小或交易量多少，均须合规。（即使每月仅处理两笔信用卡交易也不例外。）
若您运营第三方支付处理器，即便客户数据经由您的服务器流转，仍需遵守 PCI 要求。
不合规将使客户与企业面临风险。除违反支付服务商协议外，还可能导致数据丢失、高额罚款、赔偿及信任危机。
零售商符合 PCI 合规性的 12 项要求
PCI 合规是保障客户数据安全的持续过程。零售商需遵循以下 12 项关键要求及多项子要求（基于 PCI DSS 4.0 版本）：
- 使用防火墙
- 安装密码保护
- 保护持卡人数据
- 加密传输中的持卡人数据
- 使用防病毒软件
- 定期更新软件
- 限制对持卡人数据的访问
- 使用唯一标识符访问数据
- 限制对数据的物理访问
- 创建并维护访问日志
- 定期测试安全系统
- 创建并记录政策
💡 建议为业务准备一份 PCI 合规检查清单。此外，PCI SSC 也发布了相关资源以协助商户维持合规。
1. 使用防火墙
安装并维护防火墙配置是构建安全网络的基础，可有效保护持卡人数据。
2. 安装密码保护
使用强密码保护敏感卡片数据，避免使用供应商默认密码。应设置独特且复杂的密码，增加攻击者破解难度。
3. 保护持卡人数据
采取一切预防措施防止数据被盗或遭受攻击。数据应存储在安全位置，并通过强制性培训提升团队的安全意识与防护能力。
4. 加密传输中的持卡人数据
对跨开放及公共网络传输的持卡人数据进行加密，确保即使数据被截获也无法被轻易利用。
5. 使用防病毒软件
在计算机上安装并定期更新防病毒软件，定期检查其激活状态，以保护硬件免受病毒侵害。
6. 定期更新软件
及时应用最新软件更新，获取新增安全功能，最大程度保护敏感数据。
7. 限制对持卡人数据的访问
仅向确有必要的人员授予持卡人数据访问权限（如财务部门），而非开放给整个团队。
💡 提示： 借助 Shopify POS，可分配不同的角色和权限，无需经理批准即可限制门店员工在 POS 系统中的操作范围（如修改价格或应用自定义折扣）。
8. 使用唯一标识符访问数据
为每位有数据访问权限的人员分配唯一 ID。员工离职时应立即更改用户名和密码；同时设置复杂密码，防止凭证被猜测。
9. 限制对数据的物理访问
仅允许因工作需要必须接触数据的人员进行物理访问。避免将敏感持卡人数据存储于计算机或纸质文件中。
10. 创建并维护访问日志
使用最新访问日志跟踪并监控所有对网络资源和持卡人数据的访问，以便在发生数据泄露时追溯来源。
11. 定期测试安全系统
定期与网络安全专家共同测试安全系统，评估其抵御攻击的能力，及时发现并修复漏洞，防患于未然。
12. 创建并记录政策
制定完整的信息安全政策并向员工及承包商传达。频繁更新政策，确保所有团队成员明确理解数据安全方面的期望与责任。
遵守 PCI 标准的益处
尽管保持 PCI 合规需在软件和安全增强方面投入资金，但能有效避免因信任缺失导致的罚款或客户流失。
主要益处包括：
- 维持安全系统
- 从容应对法规变化
- 降低数据泄露和罚款风险
维持安全系统
据科技公司 Thales 的最新数据安全报告，37% 的受访者在过去 12 个月内遭遇过数据泄露。大多数商户并非网络安全专家，遵循 PCI 合规要求有助于建立坚实的安全基础，显著降低泄露风险。
为新法规做好准备
已合规的企业在面对未来新法规时更具适应性。当新规生效时，只需调整现有安全框架，无需从头构建。
减少数据泄露和罚款
严格执行 12 项 PCI DSS 要求可从源头预防数据泄露。即使发生泄露，合规企业通常面临的罚款和处罚也相对较低。
不遵守 PCI 标准的后果
虽然 PCI 合规性不是法律，但不满足要求可能导致高额罚款、声誉受损及客户关系破裂。
未获得 PCI 合规性可能面临以下困难：
- 丧失接受信用卡付款的能力
- 客户数据和信任受损
- 面临高额罚款风险
丧失接受信用卡付款的能力
PCI DSS 是零售商与支付处理商合同协议的一部分。忽视该标准的零售商可能面临罚款甚至诉讼，严重时将被终止信用卡受理资格。
危及客户数据和信任
客户信任直接影响企业盈利。若消费者对商家的数据保护能力缺乏信心，购买意愿将大幅降低。事实上，66% 的客户在公司发生数据泄露后会停止购买。
相反，展示 PCI 合规状态可向客户表明您重视安全并积极保护其支付数据。
支付高额罚款
由于 PCI 合规性包含在支付处理商的条款中，未能保持合规可能导致按月收取的高额罚款，大型零售商每月损失可达数万至数十万美元。
数据泄露还会带来更换信用卡、调查安全漏洞及赔偿客户等成本。平均每次数据泄露使零售企业损失约 445 万美元。对中小企业而言，不合规的代价同样可能是毁灭性的。
如何满足 PCI DSS 要求
满足 PCI DSS 要求主要有三种途径：
- 完成自我评估问卷
- 聘请合格的安全评估师
- 培训内部安全评估师
完成自我评估问卷
对于有能力自查安全系统并进行更新的零售企业主，自我评估问卷（SAQ）是经济高效的选择。需根据业务规模和类型选择合适的 SAQ。
家居用品企业 Neutypechic 创始人 David Lee 倾向于使用 SAQ 保持合规：“我不断检查防火墙安全性，确保客户财务信息不泄露，这使我能有效遵守安全协议并监控在线服务器。”
聘请合格的安全评估师
对于需要独立评估或运营复杂系统的企业，聘请合格安全评估师更为合适。作为经培训的外部第三方专家，他们会提供详细调查报告及改进建议。
培训内部安全评估师
内部安全评估师是企业员工，负责评估和降低安全风险。此选项适合希望在组织内专人专责管理 PCI 合规的企业。
拥有成熟系统的大型零售企业更倾向此方式。内部评估师熟悉企业系统与安全流程，可更频繁地评估安全状况，有效预防数据泄露。
确保您的零售企业符合 PCI 标准
无论开设实体店还是快闪店，接受信用卡支付均需符合 PCI 合规要求。为简化流程，建议选择已通过 PCI 合规认证的 POS 提供商。
请注意，所有使用 Shopify Payments 的商店自动达到最高级别 PCI 合规性。Shopify 的一级 PCI 认证涵盖商店、购物车及网络托管服务。