PCI Compliance: Now a Finance Issue as Well

PCI Council 推出 QIR（Qualified Integrators and Resellers）认证计划，弥补支付应用集成商与经销商的培训空白：不少商户虽使用 PA-DSS 认证应用，却因安装实施不当导致合规评估失败；建议商户坚持选择 QIR 认证集成商。

NetSPI 解读 PA-DSS 2.0 支付应用安全标准的变化：发卡机构可在有充分业务理由并安全存储的前提下保存敏感认证数据（track/CVV），应用须支持集中式日志审计，原有两条远程访问要求合并为一条，整体要求更清晰、更易通过审计。

NetSPI 面向 IT 经理介绍 PA-DSS 审计要点：该标准要求支付应用不得保留全磁道、CVV2、PIN 等数据，并需提供实施指南、变更控制、补丁流程与培训材料等文档；建议提前规划审计前准备，与审计方密切配合完成验证。

NetSPI 系列文章向医疗行业高管介绍 PA-DSS：卡组织正将 PCI 合规压力扩展到医疗领域，PA-DSS 由 VISA 的 PABP 自愿计划演变而来，针对第三方销售的支付应用设定安全要求；医疗软件厂商及其用户需尽快核验供应商的合规状态。

NetSPI 总结 2010 PCI 北美社区大会：DSS 2.0 以澄清与细化为主，明确 PAN 是判定适用性的核心要素，强化抽样方法论证，细化发卡机构存储敏感认证数据（SAD）的指引，并对哈希+截断并用等场景提出新的 PAN 保护要求。

NetSPI 讨论未经 PA-DSS/PABP 验证的支付应用带来的 PCI 合规困境：此类应用在小商户中极为普遍，导致存储持卡人数据保护（要求 3）难以达标；应对路径包括改用已验证应用、敦促供应商完成验证或自行补齐控制措施，Visa 已设强制切换期限。