PCI 与评估一致性

PCI 安全标准委员会（SSC）向公众开放了 2.0 版合规报告（ROC）报告说明——此前仅 QSA 审计员掌握的 “记分卡”。文档要求针对每项需求执行观察配置、审阅文档、访谈人员、抽样等验证步骤。企业从此可以按审计员的同一标准自评控制措施，不必再盲猜如何达标。

商户与服务提供商需要的是伙伴而非单纯的审计者。QSA 的职责应超越「通过 PCI 审计」，帮助客户理解各卡组织的额外要求并建立更全面的安全能力。

借 Merrick Bank 起诉 Savvis 为 CardSystems 出具 Visa CISP 合规认证（该泄露事件波及约 4000 万张支付卡、罚款 1600 万美元）一事，NetSPI 强调审计师只应是时点性独立评审者而非安全体系设计者，靠审计驱动的安全投入在过审后往往消退，组织应在完全就绪后再接受审计。

某客户此前将应用渗透测试发现的高危漏洞以业务风险为由接受并标记关闭，新应用沿用相同功能后仍在 PCI 审计中通过——这违反 Req 6.5.6（须修复所有 High 级别漏洞，CVSS 4 分及以上即为 High）。不同 QSA 判断不一，企业可能面临银行罚款、财务责任与声誉风险。

自 2012 年 6 月 30 日起，进行年度自查的 MasterCard Level 2 商户须由接受过 ISA（Internal Security Assessor）培训的内部人员执行评估，或改聘 QSA 完成。作者列举了在岗 ISA 的价值：掌握 PCI SSC 最新解读、熟悉组织内部环境、并能与外部 QSA 高效协作。

通过年度 ROC 审计或填写 SAQ 并不等于一劳永逸，PCI DSS 的本意是全年持续遵循的最佳实践。作者把合规项目维护比作房屋保养——别等审计前才临时抱佛脚，错过时间性要求只能靠补偿性控制补救。文末附白皮书清单，用于排期和分工 DSS 2.0 周期性任务。