第1章 PCI DSS合规概述：背景与核心要求归纳总结
说实话，我刚接触PCI DSS那会儿，第一反应是——这玩意儿也太庞杂了吧？12项要求、6大类、200多个子项……感觉像是把整个安全体系塞进了一个文档里。但干得久了你会发现，它其实就一件事：保护持卡人数据。本章咱们就聊聊PCI DSS的背景是什么，核心要求长什么样，以及为什么这门课要专门讲令牌化替代方案。
1.1 PCI DSS从哪来
PCI DSS的全称是Payment Card Industry Data Security Standard，翻译过来就是「支付卡行业数据安全标准」。2004年，Visa、MasterCard、American Express、Discover、JCB这五家支付品牌坐在一起，发现市面上各家都有自己的安全要求，商户和服务商根本应付不过来。干脆统一成一个标准吧——PCI DSS就这么诞生了。
我在项目中遇到过一家中型电商，老板跟我说：「我们又不存信用卡号，PCI DSS跟我们有什么关系？」结果一查，他们的支付页面跳转做得不规范，持卡人数据在自家服务器上过了手。嗯，这就是典型的「我以为我不用合规，其实我已经在合规范围内了」。
为什么会这样？因为PCI DSS的覆盖逻辑不是看「你想不想合规」，而是看「你有没有处理持卡人数据」。只要你的系统里经过、存储、传输了卡号、有效期、CVV这些信息，你就跑不掉。
1.2 核心目标：保护持卡人数据
说白了，PCI DSS的所有要求都围绕一个圆心：保护持卡人数据（Cardholder Data, CHD）和敏感认证数据（Sensitive Authentication Data, SAD）。CHD包括主账号（PAN）、持卡人姓名、有效期、服务代码；SAD包括磁条数据、CVV2/CVC2、PIN码。
我记得有一次做合规差距分析，客户的数据库里居然明文存了CVV码。开发负责人说「这样退款方便啊」。我当时就跟他讲：你想想看，PCI DSS明确禁止存储CVV——哪怕加密了也不行。这不是技术问题，是合规红线。
1.3 12项核心要求体系
PCI DSS把安全要求拆成了6大类、12项。每一类对应一个安全目标，每一项下面还有几十个详细的子要求。我在做培训时经常跟大家说：别被200多个子项吓到，先把12项的主干抓住，细节慢慢填。
下面这个表是我个人总结的12项要求速览，建议你收藏一下。每次做合规检查拿出来对照，基本不会跑偏。
| 大类 | 编号 | 核心要求 |
|---|---|---|
| 1. 建立并维护安络 | 1 | 安装并维护防火墙和网络配置 |
| 2 | 不使用厂商默认密码和默认安全参数 | |
| 2. 保护持卡人数据 | 3 | 保护存储的持卡人数据（加密/脱敏/令牌化） |
| 4 | 加密持卡人数据传输（TLS 1.2+） | |
| 3. 维护漏洞管理程序 | 5 | 使用并定期更新防恶意软件 |
| 6 | 开发并维护安全的系统和应用程序 | |
| 4. 实施强访问控制 | 7 | 按业务需要限制数据访问权限 |
| 8 | 唯一身份标识与多因素认证 | |
| 9 | 限制对持卡人数据的物理访问 | |
| 5. 定期监控并测试 | 10 | 记录并监控所有对持卡人数据的访问 |
| 11 | 定期测试安全系统和流程（渗透测试+ASV扫描） | |
| 1 | 12 | 维护覆盖所有人员的信息安全策略 |
我个人习惯把第3项和第4项称为「黄金条款」——因为令牌化就落在这两条里。你想想看，第3项要求保护存储的数据，第4项要求加密传输的数据。如果你用了令牌化，存储的是令牌而不是真实PAN，传输的也是令牌，这两项要求就一次性覆盖了。
为了让你对整个知识体系有个直观印象，我画了一张结构图。它展示了从PCI DSS背景到核心要求，再到适用范围和令牌化技术手段的完整脉络。
1.4 谁需要合规
PCI DSS的覆盖面比你想象的要广。只要你的组织涉及持卡人数据的存储、处理或传输，不管你是大型电商、支付网关、第三方插件开发者，还是只有一个小型POS机的便利店，都在范围内。
不过合规的严格程度不一样。PCI SSC按年交易量把组织分成了4个等级。等级越高，审计要求越严。
| 等级 | 年交易量 | 审计方式 |
|---|---|---|
| 1级 | > 600万笔（Visa） | 现场年审（QSA）+ ASV季度扫描 |
| 2级 | 100万 - 600万笔 | 自评问卷（SAQ）+ ASV季度扫描 |
| 3级 | 2万 - 100万笔（在线交易） | SAQ + ASV季度扫描 |
| 4级 | < 2万笔（在线交易） | SAQ + ASV季度扫描（简化） |
这里有个关键点：等级是基于「交易量」划分的，不是基于「数据量」。哪怕你只处理1万笔交易，只要这1万笔涉及持卡人数据，你就得按4级要求走完SAQ+ASV。你想想看，如果用了令牌化，真实PAN根本不出现在你的系统里，SAQ的题量能直接砍掉一半。
1.5 令牌化在合规中的位置
讲到这里，你应该能感受到：PCI DSS的核心矛盾是「业务需要持卡人数据，但安全要求尽量少碰持卡人数据」。令牌化就是用来解决这个矛盾的。
令牌化不是加密。加密是可逆的，令牌化是——用令牌（）代替真实的PAN，令牌本身没有数学意义，无法逆向还原出原始卡号。这样你的业务系统可以正常处理订单、退款、对账，但真实卡号只在令牌化服务商那边保存。
我建议你记住一个原则：令牌化缩小了PCI DSS的合规边界。你的系统里没有真实PAN，那要求3（保护存储数据）和要求4（加密传输数据）的很多子项就不适用了。合规范围小了，审计成本自然就降了。
但这门课为什么叫「令牌化替代方案」？因为现实中没有银弹。我在项目中遇到过很多场景——比如国际跨境交易、多支付品牌路由、离线支付——标准令牌化方案根本跑不通。你需要了解还有哪些其他技术选项，以及它们各自的优缺点。