PCI DSS 合规项目的持续维护

PCI DSS v1.2 大幅改版了合规报告（ROC）流程：此前各家 QSA 公司交付质量参差、低价竞争导致审计流于形式，PCI SSC 现以 QA 流程和评分矩阵统一文档标准并对 QSA 公司反向审计；建议客户索取样例报告、核实审计团队行业经验，且合规是时点评估，须持续维持而非一劳永逸。

借 Merrick Bank 起诉 Savvis 为 CardSystems 出具 Visa CISP 合规认证（该泄露事件波及约 4000 万张支付卡、罚款 1600 万美元）一事，NetSPI 强调审计师只应是时点性独立评审者而非安全体系设计者，靠审计驱动的安全投入在过审后往往消退，组织应在完全就绪后再接受审计。

NetSPI 云安全团队总结强健云渗透测试项目的三大基础：从设计之初构建安全云、理解共享责任（shared responsibility）模型、勿默认云服务天生安全，并让测试策略随云迁移适配业务目标。

2012 年 6 月 30 日起，PCI DSS 要求 6.2 的新漏洞风险分级从最佳实践转为强制项，填写 SAQ D 自查问卷的组织同样受影响。作者认为该要求促使组织评估漏洞对自身环境的实际影响，并可依据现有管控措施下调厂商给出的危险等级。

PCI 安全标准委员会（SSC）向公众开放了 2.0 版合规报告（ROC）报告说明——此前仅 QSA 审计员掌握的 “记分卡”。文档要求针对每项需求执行观察配置、审阅文档、访谈人员、抽样等验证步骤。企业从此可以按审计员的同一标准自评控制措施，不必再盲猜如何达标。

医疗行业面临监管与合同安全要求收紧：文章梳理 HIPAA、CCHIT、ARRA、HITRUST CSF 及 PCI DSS/PA-DSS 等标准与法案的影响，建议医疗机构以此为框架制定基于风险的安全策略，应对电子健康记录（EHR）普及带来的更高要求。