软件公司关于 PA-DSS 的提问与直答

NetSPI 解读 PA-DSS 2.0 支付应用安全标准的变化：发卡机构可在有充分业务理由并安全存储的前提下保存敏感认证数据（track/CVV），应用须支持集中式日志审计，原有两条远程访问要求合并为一条，整体要求更清晰、更易通过审计。

NetSPI 面向 IT 经理介绍 PA-DSS 审计要点：该标准要求支付应用不得保留全磁道、CVV2、PIN 等数据，并需提供实施指南、变更控制、补丁流程与培训材料等文档；建议提前规划审计前准备，与审计方密切配合完成验证。

NetSPI 系列文章向医疗行业高管介绍 PA-DSS：卡组织正将 PCI 合规压力扩展到医疗领域，PA-DSS 由 VISA 的 PABP 自愿计划演变而来，针对第三方销售的支付应用设定安全要求；医疗软件厂商及其用户需尽快核验供应商的合规状态。

NetSPI 讨论未经 PA-DSS/PABP 验证的支付应用带来的 PCI 合规困境：此类应用在小商户中极为普遍，导致存储持卡人数据保护（要求 3）难以达标；应对路径包括改用已验证应用、敦促供应商完成验证或自行补齐控制措施，Visa 已设强制切换期限。

只要第三方医疗软件存储、处理或传输持卡人数据，PA-DSS 即适用。Visa 设定的 2010 年 7 月大限在即，医疗软件厂商必须尽快启动验证。

PCI Council 发布 PA-DSS 3.0：新增内置/服务账户最小权限（Req 3.4）与开发过程中源代码完整性校验（Req 5.1.5）等要求，删除一条并修改多条；对应用的实际影响取决于其安全实现方式。