1. PCI DSS 标准概览
我第一次接触 PCI DSS 审计时，客户劈头就问：“你们的日志系统能过第 10 条吗？” 我当时愣了一下——日志采集还要专门过标准？后来我明白了，PCI DSS 不只是一张检查表，它是支付卡行业用真金白银堆出来的安全底线。
什么是 PCI DSS
全称 Payment Card Industry Data Security Standard，由 PCI 安全标准委员会（PCI SSC）制定。说白了，它就是一套保护持卡人数据（CDE）的技术和流程规定。谁要是存、传、处理信用卡号、有效期、CVV，谁就得按这个规矩来。
我个人习惯把 PCI DSS 当成“支付业务的 ISO 27001 精简版”，但它比 ISO 更暴力——做不到就罚款、禁刷、甚至吊销收单资格。
适用范围
只要你所在的公司涉及信用卡交易，不管你是电商、支付网关、第三方 SaaS 还是银行，统统在射程内。具体来说：
- 商户： 接受信用卡支付的任何实体——便利店、App 内购、酒店前台。
- 服务提供商： 帮别人存、传、处理持卡人数据的公司，比如云平台、网关、托管服务商。
- 第三方： 即使你不直接接触卡号，但你的系统能影响 CDE 安全（比如网络设备、日志服务器），也得纳入范围。
你想想看，如果你用了 Shopify 这类平台，平台负责 CDE，但你自己的后台能看到脱敏卡号吗？能看到就算“涉及”。
核心要求
PCI DSS 3.2.1 版本（现在最新是 4.0，但很多人还在过渡期）把要求分成 6 大目标、12 项条款。我习惯用一张表记住它们：
| 目标 | 要求编号 | 简要内容 |
|---|---|---|
| 1. 构建维护安络 | 1-2 | 防火墙配置、默认密码修改 |
| 2. 保护持卡人数据 | 3-4 | 存储加密、传输加密 |
| 3. 维护漏洞管理程序 | 5-6 | 防病毒、安全更新 |
| 4. 实施强访问控制 | 7-9 | 最小权限、唯一 ID、物理安全 |
| 5. 定期监控和测试网络 | 10-11 | 审计日志、渗透测试 |
| 6. 维护信息安全策略 | 12 | 员工培训、紧急响应流程 |
注意加粗的那一行——第 10 条“审计日志”是我们的核心战场。它要求：记录所有访问 CDE 的行为、日志不可篡改、保留至少一年、可供分析。我记得有一次帮客户做日志巡检，发现 root 用户在凌晨 3 点反复登录数据库服务器，正是靠第 10 条保留的审计日志才追溯到了内部人员的违规操作。
合规等级
不是所有公司都要请 QSA 来现场审计。PCI SSC 根据年交易量把商户和服务提供商分了等级：
| 商户等级 | 年信用卡交易笔数 | 评估要求 |
|---|---|---|
| Level 1 | 超过 600 万笔 | 必须由 QSA 现场评估 + 年复 SAQ |
| Level 2 | 100 万 – 600 万笔 | 年复 SAQ + 可选 QSA |
| Level 3 | 2 万 – 100 万笔（在线） | 年复 SAQ |
| Level 4 | 少于 2 万笔（在线） | 年复 SAQ，部分收单行要求更严 |
服务提供商的等级类似，但更看重“直接影响 CDE 的深度”。我建议你直接问你的收单行或 PCI 委员会，确认当前等级——否则自己猜很可能错。
一张图看懂本章脉络
下面这张图把标准概览串起来了。你可以把它贴在工位上，方便随时回顾：
结语（但别走）
PCI DSS 的合规不是一次性的。我见过很多公司年初请 QSA 过了，年中日志服务器硬盘满了没人管，年底自检直接跪。日志采集和巡检是持续动作——后面的章节会一步步拆解怎么做。先把这张图刻在脑子里：谁、要记什么、记多久、怎么防篡改。