Common Compliance Hurdles Part 1: Increased PCI Scope

防火墙配置复审既是最佳实践也是 PCI 要求（Req 1.1.6）。不少防火墙部署位置或规则不当，而不合理的分区与规则集往往是渗透测试得手的根源；防火墙需要持续维护审查，而非设置后一劳永逸。

CISO 的汇报线因行业而异：金融企业常将其置于 IT 之外、向首席风险官汇报，医疗行业多由 CIO 兼任，零售业则往往与合规团队绑定。

商户与服务提供商需要的是伙伴而非单纯的审计者。QSA 的职责应超越「通过 PCI 审计」，帮助客户理解各卡组织的额外要求并建立更全面的安全能力。

经营得当的零售商在经济低迷期把合规转化为战略优势，借 PCI 要求简化安全范围、强化整体安全。消费者对隐私的期待进一步助推这一转变。

PCI DSS 网络分段测试指南：定义信任区与非信任区及预期流量矩阵，同时测试入站与出站方向，结合主机对主机与子网扫描以避免误判（假阴性）。

NetSPI 早期文章探讨无线键盘是否属于 PCI 合规范围：标准并无条款覆盖这类外设，但 KeyKeriki 等硬件工具可嗅探 27MHz 无线键盘信号，并能实时解密弱 XOR 加密流量；作者建议将强加密输入设备纳入硬件准入标准。