医疗行业方案与 PA-DSS 合规（7 月大限将至）

NetSPI 系列文章向医疗行业高管介绍 PA-DSS：卡组织正将 PCI 合规压力扩展到医疗领域，PA-DSS 由 VISA 的 PABP 自愿计划演变而来，针对第三方销售的支付应用设定安全要求；医疗软件厂商及其用户需尽快核验供应商的合规状态。

NetSPI 讨论未经 PA-DSS/PABP 验证的支付应用带来的 PCI 合规困境：此类应用在小商户中极为普遍，导致存储持卡人数据保护（要求 3）难以达标；应对路径包括改用已验证应用、敦促供应商完成验证或自行补齐控制措施，Visa 已设强制切换期限。

NetSPI 解读 PA-DSS 2.0 支付应用安全标准的变化：发卡机构可在有充分业务理由并安全存储的前提下保存敏感认证数据（track/CVV），应用须支持集中式日志审计，原有两条远程访问要求合并为一条，整体要求更清晰、更易通过审计。

NetSPI 面向 IT 经理介绍 PA-DSS 审计要点：该标准要求支付应用不得保留全磁道、CVV2、PIN 等数据，并需提供实施指南、变更控制、补丁流程与培训材料等文档；建议提前规划审计前准备，与审计方密切配合完成验证。

不少软件厂商误以为 PA-DSS 与己无关。作者以问答形式直截了当地说明：哪些非 POS 软件、托管服务商也受该标准约束，以及验证流程为何成本不菲。

PCI Council 发布 PA-DSS 3.0：新增内置/服务账户最小权限（Req 3.4）与开发过程中源代码完整性校验（Req 5.1.5）等要求，删除一条并修改多条；对应用的实际影响取决于其安全实现方式。