PCI DSS日志留存策略设计与合规运维 - 第1节
PCI DSS 是什么？先聊聊我的理解
很多刚入行的朋友问我，PCI DSS 到底是个啥？
我通常会这么说——它是一套保护信用卡数据的安全标准。全称是 Payment Card Industry Data Security Standard，中文叫「支付卡行业数据安全标准」。说白了，就是 Visa、MasterCard 这些卡组织联合搞出来的规矩，谁碰信用卡数据，谁就得遵守。
我个人习惯把它看作一个「安全底线」。不是最佳实践，不是可选项，而是你必须达到的及格线。达不到？那不好意思，可能收不了卡，还得交巨额罚款。
一句话总结：PCI DSS 是处理、存储或传输持卡人数据的组织必须遵守的安全标准，由 PCI SSC（安全标准委员会）管理，每三年左右更新一次。
历史背景：这东西是怎么来的？
2000 年代初，线上支付刚火起来，安全事件频发。我记得那时候最大的几起数据泄露，动辄上百万条卡号被拖库。卡组织坐不住了——每家搞一套自己的安全要求，商户根本吃不消。
所以 2004 年，五大卡组织（Visa、MasterCard、American Express、Discover、JCB）坐在一起，把各自的要求合并，推出了 PCI DSS v1.0。
| 版本 | 发布时间 | 主要变化 |
|---|---|---|
| v1.0 | 2004 年 12 月 | 首次统一安全标准，12 大项要求 |
| v3.2.1 | 2018 年 5 月 | 增加安全验证程序，强化持续监控要求 |
| v4.0 | 2022 年 3 月 | 重大更新，引入灵活生效期，加强日志和自动化要求 |
嗯，这里要注意——v4.0 不是一刀切直接生效的。它有很多「未来生效」要求，留给企业过渡时间。你想想看，日志保留周期这块，v4.0 就强化了「可取证性」的要求，这和我们课程的主题直接相关。
适用范围：谁要管？管哪些数据？
我见过不少企业在「我到底要不要做 PCI DSS」这个问题上犯迷糊。咱们理清楚：
适用实体
- 商户（Merchant）：接受信用卡支付的企业，不管是线上电商还是线下实体店
- 服务提供商（Service Provider）：为商户存储、处理或传输持卡人数据的第三方，比如支付网关、托管服务商、SaaS 平台
有一次我帮一家小型电商做合规咨询，他们觉得自己流水小，不归 PCI DSS 管。结果一查，他们后台存了完整的卡号加 CVV——这明显踩线了。
避坑提醒：很多人以为「我用了第三方支付就不用管 PCI DSS」。错！只要你的系统接触、处理或存储持卡人数据，你就可能有合规责任。哪怕是接收加密数据后解密做二次处理，也算。
保护的数据范围
PCI DSS 保护的核心叫「持卡人数据」和「敏感认证数据」——
| 分类 | 包含内容 | 允许存储吗？ |
|---|---|---|
| 持卡人数据 | 主账号、持卡人姓名、有效期、服务代码 | 允许（需加密/截断） |
| 敏感认证数据 | 全部磁道数据、CVV/CVC、PIN/PIN 块 | 禁止存储 |
这里有一个我经常强调的点：日志里如果出现了完整的磁道数据或 CVV，那就是严重的违规。我见过不少运维同学为了方便排错，把整个支付请求的请求体打了日志，结果里面带着 CVV——这就是个大坑。
合规等级：你的打分决定审查力度
PCI DSS 的合规等级不是一刀切的。它按照年交易量分为四个级别。级别越高，审查越严。
| 等级 | 年交易量 | 审查方式 |
|---|---|---|
| Level 1 | 超过 600 万笔 | 必须由 QSA（持牌安全评估机构）进行现场评估 + ASV 扫描 |
| Level 2 | 100 万 ~ 600 万笔 | 自评问卷（SAQ）+ ASV 扫描，或由 QSA 评估 |
| Level 3 | 2 万 ~ 100 万笔（线上交易） | SAQ + ASV 扫描 |
| Level 4 | 低于 2 万笔（线上） | SAQ + ASV 扫描，由卡组织或收单行指定要求 |
曾经有一家初创公司问我：「我们一年才 10 万笔交易，Level 4 是不是随便填个表就行？」不是的。Level 4 只是审查路径不同，安全要求一个不能少。日志保留周期、访问控制这些，全得合规。
小提示：服务提供商的等级判定逻辑略有不同，一般按服务类型和涉及的数据量来定。如果你是为多家商户服务的支付网关，大概率是 Level 1，别指望走「便宜」的 SAQ 路径。
上面这张图大概能帮你串起整个体系。我们这门课主要聚焦在日志与监控这一块，尤其是日志保留周期——这个看起来简单，但实操中坑特别多的环节。
嗯，先聊到这儿。整体框架你心里有数了就好，后面我们会一层层拆开细讲。