术语表
PCI DSS 是什么 — 处理信用卡数据所需遵守的安全标准
PCI DSS 是处理信用卡数据的商户需要满足的国际安全标准。本文讲解它适用于谁、要求什么（加密、访问控制、监控），以及最安全的一种选择：干脆不要自己持有卡数据。以防御视角展开。
只要处理卡数据，PCI DSS 就无法回避。这里把适用范围与要点，以及最安全的那个选择「干脆不持有」，以防御视角来梳理。
它要求什么（大致）
与其说是某一项技术，不如说考验的是整套运维姿态：在最小范围内、以纵深方式保护敏感数据，并留下记录。
保护（加密、访问控制）
对存储数据加密并做密钥管理、对传输加密，并实施最小权限的访问控制（收窄谁可以触碰卡数据）。认证与授权是其根基。
加固（清除默认值、脆弱性管理）
清除默认密码与弱凭据，并监控依赖的脆弱性（CVE）、打上补丁。也包含反恶意软件。
记录（日志、监控、定期测试）
留下谁、在何时、做了什么的日志并加以监控。定期扫描与测试，以维持标准。
最安全的选择：缩小适用范围
本站的观点：最好的防御是『不持有』
逐条满足 PCI DSS 的要求很费力；最有效的其实是这样一种设计——从一开始就不要把卡号放进自己的系统。把卡处理交给合规的服务商，自己只处理令牌化后的引用，你所在环境的适用范围（scope）就会大幅缩小。这与本站遵循的原则一致：对敏感数据要不持有、不放置、最小化——这既是合规，也是最强的防御。还要核查处理卡数据的页面与流量绝不落入公开目录或日志（→ 不要把机密放进公开目录）。
相关的思路
扩大了适用范围（费力）
- 在自己的数据库里存储卡号
- 大量服务器与人员都能触碰卡数据
- 审计与加密的对象范围扩大，负担膨胀
缩小适用范围（安全）
- 把卡处理交给合规的支付服务商
- 自己只处理令牌化后的引用
- 适用范围最小化，泄露风险也随之缩小
延伸阅读
- 基础：认证与授权的区别（最小权限访问）／ 公钥密码（加密的根基）
- 实务：不要把机密放进公开目录 ／ 监控依赖 CVE
- 相关：GDPR（个人数据保护规则）／ OWASP Top 10 ／ 安全的历史（年表）
出处
- PCI Security Standards Council（官方）: pcisecuritystandards.org
FAQ
QPCI DSS 适用于谁？
任何存储、处理或传输信用卡数据（卡号等）的商户——电商网站、实体店、处理支付的 SaaS 都在其内。所需证明的严格程度会随交易量而变化，但『量小』不等于『豁免』。只要一触碰卡数据，这套标准就已经在起作用。
QPCI DSS 具体要求什么？
大致包括：保护网络（防火墙等）、对存储数据加密并做密钥管理、清除默认值与弱凭据、最小权限的访问控制、传输加密、脆弱性管理（打补丁、反恶意软件）、日志与监控，以及定期测试。与其说是某一项技术，不如说考验的是整套运维姿态：在最小范围内、以纵深方式保护敏感数据，并留下记录。
Q减轻合规负担最好的办法是什么？
就是从一开始就不要把卡号放进自己的系统。把卡处理交给合规的支付服务商，自己只处理令牌化后的引用，你所在环境的适用范围（scope）就会大幅缩小。不持有的数据不会泄露——这是远超卡数据本身的、最强的防御。