第2章：PCI DSS 12项要求概览——12大领域的核心要求解读
好，咱们从这开始。
PCI DSS不是一本天书。它一共12项要求，分成6大领域。说白了，这12条就是一张安全清单。你一条条过，合规的骨架就有了。
我刚开始接触的时候也觉得头大。后来我捋了一遍发现，其实就六个核心：搭建安络、保护持卡人数据、管好漏洞、控制访问、监控跟踪、最后是策略。这六个组成了完整的防御链。
核心逻辑：PCI DSS的12项要求就像一个同心圆。最外层是网络边界，中间是系统和数据，最里层是策略和人。缺一不可。
领域一：构建并维护安全的网络与系统（要求1-2）
这是最外层防线。你的网络大门如果敞着，后面做得再好也是白搭。
- 要求1：安装并维护防火墙配置。说白了，你得明确告诉防火墙：谁可以进，谁必须滚。我见过不少公司只配了默认规则，结果内网被扫穿。我个人习惯是，哪怕是最小环境，也要做到“白名单+默认拒绝”。
- 要求2：不使用厂商默认密码与安全参数。这一条看着简单，但坑特别多。你在项目里会发现，有些设备出厂密码是通用的，比如admin/admin。不改它，就等于把钥匙挂门口。
避坑提示：我曾经接手一个项目，发现十多台交换机全用的默认密码。问运维为什么？他说“方便管理”。嗯，省事一时爽，出事火葬场。默认密码在PCI DSS里算高风险违规。
领域二：保护持卡人数据（要求3-4）
这俩要求是核心中的核心。你想想看，黑客最想要的就是卡号。
- 要求3：保护存储的持卡人数据。能不留就别留。如果必须存储，必须加密、截断或哈希。我个人建议，存储PAN（主账号）的时候就同时应用令牌化，这样数据库即使被拖走，黑客也拿不到明文卡号。
- 要求4：加密持卡人数据在开放公共网络上的传输。所有经过互联网或不可信网络的数据，必须用TLS 1.2+或同等强度的加密。内网之间也建议加密，防止内部横向移动。
领域三：维护漏洞管理程序（要求5-6）
系统是活的，漏洞一直在变。你得建立起一个“发现-评估-修复”的循环。
- 要求5：使用并定期更新防恶意软件。不只是装个杀软那么简单。你得确保定义库是最新的，并且扫描策略覆盖所有关键系统。
- 要求6：开发并维护安全的系统和应用程序。这包含安全编码、补丁管理。第三方组件也是大头。我建议你建立一个补丁窗口表，定义不同严重级别的修复时限。
| 漏洞等级 | 修复时限 | 典型行动 |
|---|---|---|
| 严重（CVSS 9.0+） | 72小时内 | 紧急热修复、隔离 |
| 高危（CVSS 7.0-8.9） | 1个月内 | 安排补丁窗口 |
| 中危（CVSS 4.0-6.9） | 按标准补丁周期 | 纳入下次更新 |
| 低危（CVSS<4.0） | 可延迟 | 记录在案 |
领域四：实施强访问控制措施（要求7-9）
谁能碰卡数据，碰的时候留了什么痕？这个领域管的就是“人”和“房间”。
- 要求7：按业务需要限制对卡数据的访问。最小权限原则。一个人只需要看交易记录，就别给他解密令牌的权限。
- 要求8：为每个有系统访问权限的人分配唯一ID。不许用共享/通用账号。每个人要有自己的账号，出事了才能追溯。
- 要求9：限制对持卡人数据物理位置的访问。机房上锁、监控摄像头、访客登记。这些看起来简单，却是审核员最爱翻的角落。
小技巧：你可以用LDAP或IAM系统统一管理账号。每次有人离职，立即禁用/删除账号。我记得有次审计发现三个“僵尸账号”，还在跑定时任务，吓出一身冷汗。
领域五：定期监控并测试网络（要求10-11）
光建了一堆策略，不去验证它，那就等于没建。监控和测试是给你的防御做“体检”。
- 要求10：跟踪并监控对网络资源和持卡人数据的所有访问。日志必须记录关键事件（登录、修改权限、访问敏感数据），并且要保留至少12个月，其中前3个月立刻可查。
- 要求11：定期测试安全系统和流程。包括漏洞扫描（每季度和每次重大变更后）、渗透测试（每年一次，并覆盖CDE边界）、还有文件完整性监控（检测关键文件是否被篡改）。
领域六：维护信息安全策略（要求12）
最后一条，是人人都能读懂的策略。PCI DSS要求你把前面11条写进正式文档，并让全员知晓。
- 要求12：制定并维护信息安全策略。必须包括信息安全政策、员工安全意识培训、事件响应计划。重点不是你写了多厚的文档，而是员工是否知道“看到疑似钓鱼邮件该找谁”。
实践要点：策略文档放在公司内网首页，每个人入职第一件事就是签收安全政策。定期搞个钓鱼模拟，比单纯培训管用十倍。
嗯，这12条看完，你会觉得它更像一个框架，而不是技术文档。你把它吃透了，后面每个章节讲令牌化、讲加密、讲QSA审计，你才能明白为什么会有这些要求。
我个人觉得，理解这12条背后的逻辑，比死记硬背更重要。你想想看，这12条覆盖了六个安全维度，其实建了一个完整的安全闭环。很多时候你不合规，是因为你只做了其中某几条，漏了其他环节。补全它，你就站在了合格线之上。