implementing-pci-dss-compliance-controls

# 实施 PCI DSS 合规控制

## 概述
PCI DSS（支付卡行业数据安全标准）4.0.1 为存储、处理或传输持卡人数据（Cardholder Data）的组织建立了跨 6 个控制目标的 12 项要求。随着 PCI DSS 3.2.1 于 2024 年 4 月退休，51 项新要求将于 2025 年 3 月 31 日强制生效，本技能涵盖所有要求的实施，包括新的定制化验证方法、增强身份认证和持续监控控制。

## 前置条件
- 了解支付卡处理流程和持卡人数据环境（CDE，Cardholder Data Environment）
- 掌握网络分段和安全架构知识
- 具备访问持卡人数据环境以划定范围的权限
- 了解 PCI 合规验证级别（商户级别 1-4，服务提供商级别 1-2）

## 核心概念

### 按控制目标划分的 12 项 PCI DSS 要求

**建立并维护安全的网络和系统**
1. 安装并维护网络安全控制（防火墙、NSC）
2. 对所有系统组件应用安全配置

**保护账户数据**
3. 保护存储的账户数据（加密、令牌化、截断）
4. 传输过程中使用强加密保护持卡人数据

**维护漏洞管理计划**
5. 保护所有系统和网络免受恶意软件侵害
6. 开发和维护安全的系统和软件

**实施强访问控制措施**
7. 根据业务需知原则限制对系统组件和持卡人数据的访问
8. 识别用户并对系统组件的访问进行身份验证
9. 限制对持卡人数据的物理访问

**定期监控和测试网络**
10. 记录并监控对所有系统组件和持卡人数据的访问
11. 定期对系统和网络安全性进行测试

**维护信息安全策略**
12. 通过组织策略和计划支持信息安全

### PCI DSS 4.0 关键变化
- **定制化方法**：替代已定义方法的替代方案，允许基于目标的验证自定义控制设计
- **所有 CDE 访问的 MFA（多因素认证）**：从管理员扩展到所有持卡人数据访问（要求 8.4.2）
- **目标风险分析**：组织针对灵活要求自行进行风险分析
- **已认证漏洞扫描**：内部扫描必须使用认证扫描（要求 11.3.1.1）
- **反钓鱼机制**：检测和防范钓鱼的技术控制（要求 5.4.1）
- **自动化日志审查**：审计日志审查的自动化机制（要求 10.4.1.1）

## 实施步骤

### 阶段 1：范围界定和评估（第 1-4 周）
1. 识别所有持卡人数据流（卡片存在、卡片不存在、存储）
2. 定义持卡人数据环境（CDE）边界
3. 验证网络分段有效性
4. 确定合规验证级别
5. 针对所有 12 项要求进行 PCI DSS 差距评估

### 阶段 2：网络和系统安全（第 5-12 周）
1. 部署和配置网络安全控制（要求 1）
2. 实施网络分段以最小化 CDE 范围
3. 使用 CIS 基准加固系统配置（要求 2）
4. 为面向公众的 Web 应用程序实施 WAF（要求 6.4.1）
5. 在所有范围内系统上部署反恶意软件（要求 5）

### 阶段 3：数据保护（第 13-20 周）
1. 实施存储持卡人数据的加密（要求 3）
2. 尽可能部署令牌化以减少范围
3. 强制所有持卡人数据传输使用 TLS 1.2+（要求 4）
4. 实施密钥管理程序
5. 部署数据发现工具以定位未加密的持卡人数据

### 阶段 4：访问控制（第 21-28 周）
1. 基于业务需知原则实施 RBAC（基于角色的访问控制）（要求 7）
2. 为所有 CDE 访问部署 MFA（要求 8）
3. 为所有用户实施唯一用户 ID
4. 强制执行符合 PCI DSS 4.0 要求的密码策略
5. 为 CDE 设施实施物理访问控制（要求 9）

### 阶段 5：监控和测试（第 29-36 周）
1. 为所有 CDE 组件部署集中式日志记录（要求 10）
2. 实施自动化日志审查机制
3. 进行内部和外部漏洞扫描（要求 11）
4. 执行渗透测试（内部和外部）
5. 为关键文件实施文件完整性监控（FIM）

### 阶段 6：策略和治理（第 37-42 周）
1. 制定全面的信息安全策略（要求 12）
2. 实施安全意识培训，包括反钓鱼内容
3. 建立专门针对持卡人数据的事件响应计划
4. 针对灵活要求进行目标风险分析
5. 记录并验证所有控制措施以供评估

## 关键工件
- CDE 范围文档和网络图
- 自评问卷（SAQ）或合规报告（ROC）
- 合规证明（AOC）
- 季度 ASV 扫描报告
- 年度渗透测试报告
- 风险评估文档
- 安全策略和程序

## 常见陷阱
- 因网络分段不足导致范围蔓延
- 授权后存储禁止数据（CVV、完整轨道数据）
- 错过 2025 年 3 月新强制要求的截止日期
- 将 PCI DSS 视为年度合规而非持续安全
- 未将云和容器环境纳入 CDE 范围

## 参考资料
- PCI DSS v4.0.1：https://www.pcisecuritystandards.org/document_library/
- PCI SSC 快速参考指南
- PCI DSS 4.0 变更摘要
- UpGuard PCI DSS 4.0 指南：https://www.upguard.com/blog/pci-compliance