PCI and the "other wireless"

CISO 的汇报线因行业而异：金融企业常将其置于 IT 之外、向首席风险官汇报，医疗行业多由 CIO 兼任，零售业则往往与合规团队绑定。

商户与服务提供商需要的是伙伴而非单纯的审计者。QSA 的职责应超越「通过 PCI 审计」，帮助客户理解各卡组织的额外要求并建立更全面的安全能力。

经营得当的零售商在经济低迷期把合规转化为战略优势，借 PCI 要求简化安全范围、强化整体安全。消费者对隐私的期待进一步助推这一转变。

NetSPI 文章指出电子邮件已从单纯通讯工具演变为即时消息、文件传输与数据存储平台，随之带来 HIPAA、PCI 等合规责任；建议加强用户加密意识培训，并辅以附件限制、DLP、邮件服务器敏感信息扫描等管控措施。

NetSPI 解读 PA-DSS 2.0 支付应用安全标准的变化：发卡机构可在有充分业务理由并安全存储的前提下保存敏感认证数据（track/CVV），应用须支持集中式日志审计，原有两条远程访问要求合并为一条，整体要求更清晰、更易通过审计。

NetSPI 面向 IT 经理介绍 PA-DSS 审计要点：该标准要求支付应用不得保留全磁道、CVV2、PIN 等数据，并需提供实施指南、变更控制、补丁流程与培训材料等文档；建议提前规划审计前准备，与审计方密切配合完成验证。