合规性基础
聊PCI DSS，先得把底层的游戏规则搞清楚。
合规到底是谁的事？周期怎么转？什么时候填个表就行，什么时候必须上人现场查？这些概念如果一开始就模糊，后面做评估会踩不少坑——我自己就见过有的公司拿着SAQ当ROC用，结果认证被拒，白白浪费三个月。
合规责任与角色
先说角色。PCI DSS里有四类人绕不开：
- 商户（Merchant）：收单的一方，不管你是卖煎饼的还是做电商的，只要持卡人数据过你的手，你就有责任。
- 服务提供商（Service Provider）：帮商户处理、存储、传输卡数据，比如网关、托管平台、第三方支付。
- QSA（Qualified Security Assessor）：持牌的外部评估员。我做过QSA，说实话，这个身份的关键是“独立”。你不能既当裁判又当运动员。
- ISA（Internal Security Assessor）：企业内部的合规岗，可以自己给自己做ROC，前提是公司有资源养这么个角色。
很多人问：「那我是商户还是服务提供商？」
简单判断：如果你的系统只处理自己店铺的交易，那是商户；如果你拿着别人的卡数据做处理或存储，那就是服务提供商。我记得有个做SaaS的客户，一直以为自己是商户，结果一查，他们系统里同时跑着几十家商户的交易——妥妥的服务提供商，评估范围直接翻倍。
核心原则：谁接触卡数据，谁就承担合规责任。没有“我只是个中间商”这个说法。
评估周期
PCI DSS的评估不是一次性的。它不是考完试就完了，而是每年都要“续命”。
周期大概是这样：
- 年度评估：每年一次正式的合规确认，要么填SAQ，要么做ROC。
- 持续监控：日常的日志、扫描、漏洞修补——这些是一年里天天都在做的事。
- 季度ASV扫描：如果网络接触到卡数据，每季度必须请ASV（Approved Scanning Vendor）扫外部IP。
注意一点：年度评估通过的当天，你的合规状态就开始倒计时了。很多公司以为拿到认证就能睡一年——我曾经遇到过一家企业，1月份过的ROC，2月份就忘了修一个高危漏洞，结果下一年复审时被QSA抓了个正着。说白了，合规是“动态的”，持续监控才是保命的关键。
我个人的建议：把年度评估当成一个“体检日”，把持续监控当成每天的“刷牙”。体检再漂亮，每天不刷牙一样会蛀牙。
SAQ与ROC的区别
很多初学者搞不清这两个东西。我简单说：
- SAQ（Self-Assessment Questionnaire）：自评表。适用于交易量小、环境简单的商户。填完表、签个字、做完扫描，就算完成。
- ROC（Report on Compliance）：完整评估报告。必须由QSA现场验证。适用于交易量大、环境复杂的商户，以及所有服务提供商。
下表是我自己整理的对比，你用的时候可以直接参考：
| 维度 | SAQ | ROC |
|---|---|---|
| 执行方 | 商户自行填写 | QSA现场评估 |
| 适用对象 | Visa四级商户、交易量小的商户 | Visa一级、二级商户，所有服务提供商 |
| 工作量 | 几小时到几天 | 几周到几个月 |
| 证据要求 | 自述为主 | 必须提供截图、配置、日志等客观证据 |
| 审核频率 | 年度 | 年度 |
避坑指南：我遇到过有商户明明每年处理几百万笔交易，却硬要填SAQ-A，因为觉得ROC太贵。结果收单行要求补做评估，反而多花了钱还耽误时间。一定不要为了省钱选错渠道——SAQ不是万能药，只有环境真的符合SAQ要求才能用。
SAQ也有多种版本，比如SAQ A（完全外包）、SAQ B（只有拨号终端）、SAQ C-VT（虚拟终端）等等。选错版本等于白做。我个人习惯是先画一张网络拓扑图，标出卡数据的流向，再对照每个版本的适用范围去选。这样能避免90%的错误。
最后，用一张SVG图把整个评估周期的流程和角色关系串起来，方便你理解：
SVG图里几个箭头你得捋一下：从上往下，角色决定你走SAQ还是ROC；右边是全年都要做的持续监控和季度扫描。这三个维度缺一不可。
一个小经验：如果你第一次做PCI DSS，拿出《PCI DSS要求与安全评估程序》文档，先找到附录A里的“SAQ Eligibility Flowchart”。顺着那个流程图走一遍，基本就能判断自己该走哪条路。我在培训时经常带学员现场跑这个流程，比死记硬背管用得多。