Things not to overlook in the new PCI DSS 3.0

NetSPI 总结 2010 PCI 北美社区大会：DSS 2.0 以澄清与细化为主，明确 PAN 是判定适用性的核心要素，强化抽样方法论证，细化发卡机构存储敏感认证数据（SAD）的指引，并对哈希+截断并用等场景提出新的 PAN 保护要求。

信用卡欺诈让 PCI 合规不再只是 IT 问题，更是财务问题。作者建议 CFO 主导卡数据安全计划，并提醒关注 2010 年 7 月认证支付应用的最后期限。

Ponemon 报告显示仅 2% 的组织未通过 PCI 审计，却有约 40% 依赖补偿性控制，凸显标准与审计过程的主观性——合规并不等于真实安全。

CISO 的汇报线因行业而异：金融企业常将其置于 IT 之外、向首席风险官汇报，医疗行业多由 CIO 兼任，零售业则往往与合规团队绑定。

商户与服务提供商需要的是伙伴而非单纯的审计者。QSA 的职责应超越「通过 PCI 审计」，帮助客户理解各卡组织的额外要求并建立更全面的安全能力。

经营得当的零售商在经济低迷期把合规转化为战略优势，借 PCI 要求简化安全范围、强化整体安全。消费者对隐私的期待进一步助推这一转变。