PCI Assessors Meeting

商户与服务提供商需要的是伙伴而非单纯的审计者。QSA 的职责应超越「通过 PCI 审计」，帮助客户理解各卡组织的额外要求并建立更全面的安全能力。

NetSPI 解读 PA-DSS 2.0 支付应用安全标准的变化：发卡机构可在有充分业务理由并安全存储的前提下保存敏感认证数据（track/CVV），应用须支持集中式日志审计，原有两条远程访问要求合并为一条，整体要求更清晰、更易通过审计。

NetSPI 面向 IT 经理介绍 PA-DSS 审计要点：该标准要求支付应用不得保留全磁道、CVV2、PIN 等数据，并需提供实施指南、变更控制、补丁流程与培训材料等文档；建议提前规划审计前准备，与审计方密切配合完成验证。

NetSPI 系列文章向医疗行业高管介绍 PA-DSS：卡组织正将 PCI 合规压力扩展到医疗领域，PA-DSS 由 VISA 的 PABP 自愿计划演变而来，针对第三方销售的支付应用设定安全要求；医疗软件厂商及其用户需尽快核验供应商的合规状态。

NetSPI 讨论未经 PA-DSS/PABP 验证的支付应用带来的 PCI 合规困境：此类应用在小商户中极为普遍，导致存储持卡人数据保护（要求 3）难以达标；应对路径包括改用已验证应用、敦促供应商完成验证或自行补齐控制措施，Visa 已设强制切换期限。

作者回顾在双城举办的 Secure360 大会：涵盖组织为何难以理性对待风险、云计算安全隐患，以及将 PCI DSS 用作安全计划基线的讨论。