您的客戶能否通過其安全的信用卡信息信任您？如果沒有，您的信譽和底線可能會受到打擊。每家接受客戶信用卡付款的公司都必須遵守支付卡行業和數據安全標準。這些標準通常縮寫為 PCI DSS，保護在線消費者和電子商務服務提供商。閱讀新聞，很容易理解為什么 PCI 合規標準很重要。我們經常聽到有關數據泄露的故事。Target、Uber 和 Equifax 等大公司也受到了影響。較小的公司也很脆弱。與客戶建立信任是每個企業的首要任務。 符合 PCI 標準的主機 應該在您的安全清單的頂部。使用信用卡付款的客戶不想擔心身份被盜。你的工作是盡你所能將他們的風險降到最低。

什么是 PCI 合規性？PCI 是什么意思？

讓我們談談為什么 PCI 標準很重要。PCI標準應該確保兩件事。

• 現場安全存儲信用卡數據。 這種擔憂僅適用于存儲信用卡數據的公司。如果您不保存數據，則不必擔心安全漏洞。安全存儲應包括虛擬安全和物理安全。
• 跨公共網絡的信用卡數據的安全傳輸。 任何時候數據都在轉換；它可能很脆弱。密碼、PIN 號碼和其他方法可以確保信息安全。

PCI 標準保護敏感的持卡人信息。無論數據是處于靜止狀態還是在傳輸中，它們都適用，從而保護您的客戶免受破壞和身份盜用。

PCI 兼容標準如何工作？

如果您的公司接受、存儲或傳輸信用卡數據，您必須遵守 PCI 標準。但是，這些標準因您的情況而異。我們不會降低所有標準。不過，我們希望讓您了解 PCI 合規性的工作原理。您如何知道需要哪個級別的 PCI 安全性？以下是一些需要注意的事項：

• PCI 標準由 Visa、MasterCard、JCB International 和 American Express 等主要信用卡公司制定。他們的目的是保護持卡人。
• 沒有 PCI 認證之類的東西。但是，您必須證明您的公司符合 PCI 標準。
• 您必須遵守的合規程度取決于您的信用卡交易的年度交易量。
• 遵守 PCI 標準并非沒有成本。每年可能要花費您 1,000 到 50,000 美元。
• 如果您不符合 PCI 標準，將會受到處罰。

確定需要何種級別的 PCI 合規性是您的工作。然后，您將需要一份 PCI 合規性清單。請記住，合規性是一個持續存在的問題。您將需要不斷更新您的安全性以符合 PCI 標準——例如，新更新的 PCI-DSS 3.2 法規。

PCI 合規性指南中有什么內容？

缺乏商家 PCI 合規性可能會使您的公司損失金錢和聲譽。擁有一份可供參考的清單可以幫助您完成所有必要的步驟以確保合規。您應該使用 PCI DSS 審核清單 來確保您滿足每項要求。請記住，要求可能會根據您的交易量而變化。監控您的交易并選擇正確的合規級別是您的工作。為了讓您更輕松，我們創建了 PCI 自我評估的簡短指南。在您完成此清單時，必須徹底徹底。跟蹤以確保您沒有錯過任何重要步驟。

1. 安裝和維護防火墻

為了滿足 PCI 標準，請安裝可靠的防火墻來保護您的 網絡安全。防火墻是保護持卡人數據的第一道防線，因為它有助于阻止未經授權的網絡訪問。為了提高其效率，您應該有一個明確的防火墻配置策略。在您的防火墻上運行定期測試，并確保您的托管服務有一個到位。

2. 不要使用供應商提供的默認值

跟蹤密碼可能很麻煩。一些公司通過使用供應商默認值來偷工減料。符合 PCI 標準意味著分配唯一的密碼。您使用的每個密碼都應遵守密碼最佳做法。包括小寫和大寫字母、數字和符號可確保密碼安全。使用默認設置可以讓潛在的黑客輕松進入您的系統。

3. 保護存儲的持卡人數據

通過 PCI 標準保護持卡人數據需要您考慮系統的漏洞。您需要設置電子和物理屏障。您的第一個忠誠度應該是對信任您的客戶。安全措施可能包括：

• 強密碼策略
• 身份驗證協議
• 鎖定的服務器
• 帶鎖的儲物柜
• 根據需要的附加步驟

對現有措施進行盤點可以幫助您發現問題。

4、持卡人信息加密傳輸

保護存儲的持卡人信息是遵守 PCI 標準的必要條件，但在傳輸過程中保護它同樣重要。如果您通過開放網絡發送客戶數據，則應確保對其進行加密。此步驟增加了一層保護以保護它免受黑客攻擊，因為如果沒有加密密鑰，他們將無法讀取它。PCI 合規性最佳實踐不建議存儲敏感數據。PINS、安全代碼和其他驗證信息應在靜止和傳輸過程中得到充分保護和加密。

5. 使用和更新殺毒軟件

為保護持卡人信息并遵守 PCI 標準，您必須使用防病毒軟件。這似乎很明顯，但公司擁有過時的軟件并不少見。您的軟件應該是可靠的并且來自具有良好記錄的公司。定期更新數據庫是您的工作。培訓員工更新他們用于工作的所有設備上的數據庫，并確保您還在服務器上運行定期掃描。

6. 開發和維護安全系統和應用程序

許多公司同時使用專有和第三方系統和應用程序。要遵守 PCI 標準，您需要確保所有系統和軟件都是安全的。使用第三方應用程序有時是有益的，但需要謹慎。您必須確信他們在您的網絡上的存在不會危及您的數據。并非所有應用程序都可以安全使用，因此在安裝任何新應用程序之前要明智地選擇。

7. 限制對持卡人數據的訪問

作為企業主，您需要信任您的員工。沒有老板愿意相信他們的員工會粗心對待客戶數據。這是可以理解的，但您必須根據需要采取措施限制訪問。

根據 PCI 標準，不需要訪問持卡人數據的人不應該擁有它。您的大多數員工都不需要訪問權限。只有需要持卡人信息的人才能訪問它。采取這個簡單的步驟可以最大限度地降低內部數據泄露的風險。

8. 為所有用戶分配唯一 ID

限制對安全數據的訪問可減少內部違規的機會。這并不意味著您不應該跟蹤用戶活動和訪問。我們建議將此作為附加的安全措施，以遵守 PCI 標準。

為每個有權訪問您的系統的用戶分配一個唯一的 ID 是必不可少的。這個簡單的步驟可以幫助您跟蹤誰在訪問您的數據。當每個用戶都有一個 ID 和密碼時，您可以監控誰訪問了存儲的數據。讓員工知道他們的活動被觀察到可以增加額外的保護層。

9. 限制對持卡人數據的物理訪問

防止黑客以電子方式訪問持卡人數據至關重要，但這不是您應該采取的唯一步驟。您必須確保只有需要物理訪問持卡人數據的授權人員才能擁有它。

此步驟適用于服務器和其他硬件以及紙質記錄。如果您保留持卡人信息的任何印刷記錄，請將其存放在安全區域。應限制進入該地區。這些區域不得未上鎖或無人看管。

10. 跟蹤和監控對持卡人數據的所有訪問

你想信任你的員工，但你不能承擔最好的假設。保護客戶數據必須是您的首要任務。如果您想保護持卡人信息，則必須有一個跟蹤和監控系統。這樣，您就可以看到哪些員工訪問了 PCI 標準要求的安全數據。員工可能會對被監控的想法感到憤怒。這是可以理解的，但這不會改變您對客戶的義務。建立一個監控系統，然后定期審查。應立即處理員工的任何異常或意外活動。

11. 測試安全系統和流程

安裝安全系統、防火墻、防病毒軟件和內部安全是必不可少的。這些步驟對于保證客戶數據的安全至關重要，而對現有系統的持續測試也是如此。將這些測試視為消防演習。我們重點測試學校和辦公室的火災警報和疏散方法。同樣，您應該定期測試您的安全系統以確保它們正常工作。如果測試發現漏洞或漏洞，您必須立即解決。即使是最好的安全措施也可能失敗，所以不要誤以為你的安全措施是萬無一失的。

12. 編寫和執行安全策略

我們 PCI DSS 清單的最后一步是編寫和實施全面的安全策略。即使有適當的保護措施，您也必須進行溝通并努力執行您的政策。任何員工、第三方供應商和客戶都應該知道這一點。

讓人們知道您的政策可以同時做幾件事情。

• 它讓客戶知道您認真對待他們的隱私并希望保護他們的數據。
• 它確保所有人員都了解保護持卡人數據的重要性。
• 它讓您的員工注意到您將監控他們對安全信息的訪問。

您的書面安全政策應包括您如何保護客戶數據的概述。它還應說明員工的密碼和訪問要求。確保指定您在 BYOD 和移動設備上訪問數據的指南。應讓所有重要人員了解 PCI 標準以及如何遵守這些標準。

始終驗證 PCI 合規性

與客戶保持信任的氛圍至關重要。事實上，缺乏信心會影響您企業的整體福祉。遵守 PCI 標準是激發客戶、潛在客戶和業務合作伙伴信任的關鍵。PCI 合規性清單上的項目應與推薦的安全最佳實踐結合使用，以最大限度地提高您的數據保護策略。