Common Compliance Hurdles Part 3: Data Retention

NetSPI 介绍 PCI SSC 为虚拟终端场景新推出的 SAQ C-VT 自评估问卷：仅通过隔离的浏览器虚拟终端处理持卡人数据的商户适用，且明确要求此类工作站必须分段与加固，终结了以往「有 SSL 就出范围」等争议。

NetSPI 总结 2010 PCI 北美社区大会：DSS 2.0 以澄清与细化为主，明确 PAN 是判定适用性的核心要素，强化抽样方法论证，细化发卡机构存储敏感认证数据（SAD）的指引，并对哈希+截断并用等场景提出新的 PAN 保护要求。

CISO 的汇报线因行业而异：金融企业常将其置于 IT 之外、向首席风险官汇报，医疗行业多由 CIO 兼任，零售业则往往与合规团队绑定。

商户与服务提供商需要的是伙伴而非单纯的审计者。QSA 的职责应超越「通过 PCI 审计」，帮助客户理解各卡组织的额外要求并建立更全面的安全能力。

经营得当的零售商在经济低迷期把合规转化为战略优势，借 PCI 要求简化安全范围、强化整体安全。消费者对隐私的期待进一步助推这一转变。

NetSPI 撰文指出 PCI DSS 的影响已远超零售/酒店行业：PA-DSS 将自愿性的 PABP 转变为软件供应商必须遵守的强制标准，而医疗、高校等机构大多仍处于否认阶段，尚未意识到 PCI 义务与 HIPAA 合规的叠加，行业正经历类似悲伤五阶段的接纳过程。