IT Manager's guide to passing the PA-DSS Audit

NetSPI 解读 PA-DSS 2.0 支付应用安全标准的变化：发卡机构可在有充分业务理由并安全存储的前提下保存敏感认证数据（track/CVV），应用须支持集中式日志审计，原有两条远程访问要求合并为一条，整体要求更清晰、更易通过审计。

NetSPI 系列文章向医疗行业高管介绍 PA-DSS：卡组织正将 PCI 合规压力扩展到医疗领域，PA-DSS 由 VISA 的 PABP 自愿计划演变而来，针对第三方销售的支付应用设定安全要求；医疗软件厂商及其用户需尽快核验供应商的合规状态。

NetSPI 讨论未经 PA-DSS/PABP 验证的支付应用带来的 PCI 合规困境：此类应用在小商户中极为普遍，导致存储持卡人数据保护（要求 3）难以达标；应对路径包括改用已验证应用、敦促供应商完成验证或自行补齐控制措施，Visa 已设强制切换期限。

不少软件厂商误以为 PA-DSS 与己无关。作者以问答形式直截了当地说明：哪些非 POS 软件、托管服务商也受该标准约束，以及验证流程为何成本不菲。

只要第三方医疗软件存储、处理或传输持卡人数据，PA-DSS 即适用。Visa 设定的 2010 年 7 月大限在即，医疗软件厂商必须尽快启动验证。

商户与服务提供商需要的是伙伴而非单纯的审计者。QSA 的职责应超越「通过 PCI 审计」，帮助客户理解各卡组织的额外要求并建立更全面的安全能力。