欧洲 PCI 社区会议：几点观感

商户与服务提供商需要的是伙伴而非单纯的审计者。QSA 的职责应超越「通过 PCI 审计」，帮助客户理解各卡组织的额外要求并建立更全面的安全能力。

NetSPI 解读 PA-DSS 2.0 支付应用安全标准的变化：发卡机构可在有充分业务理由并安全存储的前提下保存敏感认证数据（track/CVV），应用须支持集中式日志审计，原有两条远程访问要求合并为一条，整体要求更清晰、更易通过审计。

作者记录了拉斯维加斯 PCI Assessors Meeting 的见闻：会上向 QSA/ASV 通报了 PA-DSS ROV 提交量增长、新版 ASV Program Guide、证据收集改进与评估方法一致性等议题。

Ponemon 报告显示仅 2% 的组织未通过 PCI 审计，却有约 40% 依赖补偿性控制，凸显标准与审计过程的主观性——合规并不等于真实安全。

欧洲 PCI 落地仍落后于北美，但态度正在转变。Chip and PIN 的局限、各国立法、收单银行的执行力度与卡组织的支持将决定差距缩小的速度。

CISO 的汇报线因行业而异：金融企业常将其置于 IT 之外、向首席风险官汇报，医疗行业多由 CIO 兼任，零售业则往往与合规团队绑定。