Visa 与 MasterCard 取消品牌互认：对商户意味着什么

NetSPI 讨论未经 PA-DSS/PABP 验证的支付应用带来的 PCI 合规困境：此类应用在小商户中极为普遍，导致存储持卡人数据保护（要求 3）难以达标；应对路径包括改用已验证应用、敦促供应商完成验证或自行补齐控制措施，Visa 已设强制切换期限。

CISO 的汇报线因行业而异：金融企业常将其置于 IT 之外、向首席风险官汇报，医疗行业多由 CIO 兼任，零售业则往往与合规团队绑定。

只要第三方医疗软件存储、处理或传输持卡人数据，PA-DSS 即适用。Visa 设定的 2010 年 7 月大限在即，医疗软件厂商必须尽快启动验证。

商户与服务提供商需要的是伙伴而非单纯的审计者。QSA 的职责应超越「通过 PCI 审计」，帮助客户理解各卡组织的额外要求并建立更全面的安全能力。

经营得当的零售商在经济低迷期把合规转化为战略优势，借 PCI 要求简化安全范围、强化整体安全。消费者对隐私的期待进一步助推这一转变。

自 2012 年 6 月 30 日起，进行年度自查的 MasterCard Level 2 商户须由接受过 ISA（Internal Security Assessor）培训的内部人员执行评估，或改聘 QSA 完成。作者列举了在岗 ISA 的价值：掌握 PCI SSC 最新解读、熟悉组织内部环境、并能与外部 QSA 高效协作。