什么是PCI DSS，为什么商户需要关注它

PCI DSS全称是支付卡行业数据安全标准，由Visa、Mastercard等五大国际卡组织联合制定。简单来说，它是一套保护持卡人数据不被泄露的强制性安全规范。只要商户处理信用卡或借记卡的支付信息，无论规模大小都要遵守这套规范。很多中小商户觉得PCI DSS是大企业的事，这个认知其实是有偏差的——黑客攻击不会因为你是小店就手下留情。事实上统计数据显示，超过百分之四十的数据泄露事件发生在中小商户身上，因为小商户的安全防护相对薄弱，对攻击者来说性价比更高。

PCI DSS的六大核心控制目标

PCI DSS标准包含十二项具体要求，可以归纳为六大控制目标。第一是建立和维护安全的网络系统——商户需要部署防火墙来保护持卡人数据，不能使用供应商默认的系统密码。第二是保护持卡人数据——存储的卡号必须加密，通过网络传输的卡号也必须加密。第三是维护漏洞管理程序——使用防病毒软件并及时更新，开发安全的系统和应用程序。第四是实施严格的访问控制措施——限制对持卡人数据的访问权限，每个访问系统的用户必须有唯一ID。第五是定期监控和测试网络——跟踪和监控所有对网络资源和持卡人数据的访问。第六是维护信息安全策略——建立并维护针对所有人员的信息安全策略。

中小商户如何落地PCI DSS合规

面对看似庞杂的PCI DSS要求，中小商户可以分三步逐步达标。第一步是确认自己的支付处理模式。如果使用的是第三方支付服务商的托管支付页面（顾客付款时跳转到支付宝或微信支付页面），商户不接触也不存储卡号，合规要求会大幅简化。第二步是完成自我评估问卷，根据业务规模选择对应等级的问卷如实填写。第三步是如果有存储卡号的需求，必须部署符合PCI标准的加密方案并接受定期的安全扫描。绝大多数中小商户属于最低合规等级，只需要完成自我评估即可。合规不是一次性的任务，而是需要持续维护的安全基线。建议商户每季度检查一次系统安全状态，发现潜在漏洞及时修补。

合规不等于安全，但合规是安全的基础

PCI DSS合规只是支付安全的最低标准而非天花板。商户在满足合规要求的基础上还应该主动加码——定期对员工进行安全意识培训、建立突发安全事件的应急响应流程、对收银终端进行物理安全防护（防止卡槽被加装盗刷设备）。支付安全是一个动态对抗的过程，攻击手段在不断进化，防御体系也需要持续迭代。商户把安全当作经营成本而非负担，转换一下心态——每投入在安全上的一块钱，可能是在避免一次数万元的损失。