📚 课程目录第4章控制目标与要求条目

第4章：12项要求与每个要求的证据类型

PCI DSS 的核心由 6 大控制目标 和 12 项具体要求 构成。每一项要求都对应明确的 合规证据类型，审计检查时需按证据链逐项举证。本章从合规要求拆解出发，逐一列出每项要求的证据清单，并形成可操作的风险识别、材料台账、证据链构建及整改闭环指导。

4.1 合规要求拆解：12项要求总览与证据类型

下表列出 PCI DSS 全部 12 项要求、所属控制目标、核心要求说明及 对应证据类型。该表是建立合规证据台账的基础。

要求编号	控制目标	要求说明	核心证据类型
1	目标1	安装和维护防火墙配置	防火墙规则清单、网络拓扑图、规则评审记录、变更审批单
2	目标1	不使用供应商默认密码/安全参数	系统配置基线文档、默认密码更改记录、配置扫描报告、设备清单
3	目标2	保护存储的持卡人数据	数据发现与分类报告、数据留存策略、加密密钥管理记录、掩码/截断样本、存储清空证明
4	目标2	加密传输中的持卡人数据	TLS/SSL 证书清单、协议与密码套件配置、证书有效期监控、传输加密测试报告
5	目标3	保护系统免受恶意软件侵害	防病毒/反恶意软件部署清单、扫描日志、软件更新记录、白名单策略
6	目标3	开发并维护安全系统和应用	安全开发流程文档、代码审查记录、漏洞扫描报告、补丁管理记录、变更控制日志
7	目标4	按业务需要限制数据访问	访问控制矩阵（ACL）、权限审批记录、最小权限策略文档、权限定期审查记录
8	目标4	识别并验证系统组件访问	用户 ID 清单、身份验证机制说明、多因素认证（MFA）记录、访问日志审查记录
9	目标4	限制对持卡人数据的物理访问	物理访问控制清单、访客登记簿、机房门禁记录、媒体销毁证明、摄像头布局图
10	目标5	跟踪并监控所有网络访问	审计日志配置（时间同步、日志内容）、日志监控告警规则、日志保留策略、回溯分析报告
11	目标5	定期测试安全系统和流程	内部/外部漏洞扫描报告、渗透测试报告、入侵检测/防御系统日志、扫描工具验证记录
12	目标6	维护全员信息安全策略	信息安全策略文档、安全意识培训记录（含签到表）、供应商管理评估表、应急响应计划及演练记录

  要点： 证据类型按“文档 + 配置 + 日志 + 报告”四类划分。审计时需提供原始记录（primary evidence）和支撑材料（supporting evidence），两者缺一不可。

4.2 风险识别：每项要求的典型缺失风险

对照 12 项要求识别高风险点，可快速定位证据链薄弱环节。

要求	典型缺失风险	风险等级
1	防火墙规则未经评审，存在宽松/冲突规则	高
2	设备仍使用默认密码或未禁用默认账户	高
3	持卡人数据存储超期，无加密密钥轮换机制	严重
4	传输使用 TLS 1.0/1.1 或弱密码套件	高
5	防病毒软件未覆盖所有系统或病毒库过期	中
6	无安全开发规范，第三方组件未做漏洞扫描	高
7	权限分配未遵循最小权限原则，无定期审查	高
8	未启用多因素认证，共享账户未登记	严重
9	机房访客无陪同记录，媒体销毁无证明	中
10	审计日志未配置时间同步，日志保留不足12个月	高
11	漏洞扫描未覆盖所有外部 IP，渗透测试频次不足	高
12	安全策略未全员签署，供应商无安全评估记录	中

审计陷阱： 多数机构在 要求3（数据存储加密）、要求8（MFA） 和 要求10（审计日志） 三项上证据链断裂。请优先加固这三项的举证材料。

4.3 材料清单与台账组织

按“要求编号 → 证据大类 → 具体文件 → 版本/时间 → 责任人”建立台账。以下为台账模板：

【PCI DSS 合规证据台账 · 第4章台账模板】
| 要求 | 证据类别     | 文件名称                     | 版本   | 更新时间   | 责任人   | 存放位置         |
|------|--------------|------------------------------|--------|------------|----------|------------------|
| 1    | 防火墙规则   | fw_rule_review_2025Q1.xlsx   | v2.1   | 2025-03-15 | 张三     | /evidence/req1/  |
| 1    | 网络拓扑     | network_topology_2025.pdf    | v3.0   | 2025-02-28 | 李四     | /evidence/req1/  |
| 3    | 加密密钥管理 | key_rotation_log_2025.csv    | v1.5   | 2025-04-01 | 王五     | /evidence/req3/  |
| 8    | MFA 配置     | mfa_deployment_report.pdf    | v2.0   | 2025-03-20 | 赵六     | /evidence/req8/  |
| 10   | 审计日志配置 | audit_log_settings.conf      | v1.2   | 2025-01-10 | 钱七     | /evidence/req10/ |
| ...  | ...          | ...                          | ...    | ...        | ...      | ...              |

组织建议： 每项要求建立一个独立文件夹（如 req1/、req2/…），内部按“原始记录”、“审查报告”、“整改闭环”三级存放。台账文件使用 .xlsx 或 .csv 格式，便于审计时快速检索。

4.4 证据链构建：从原始记录到审计演示

一条完整的证据链包含 5 个环节：

原始记录（配置、日志、证书、截图等原始文件）
汇总分析（扫描报告、审查记录、趋势图表）
合规声明（责任人签字确认满足要求）
审计演示（录制操作过程或实时演示脚本）
整改闭环（不符合项的修复证明及复测记录）

以 要求4（传输加密） 为例，展示证据链构建：

【要求4证据链示例】
├── 原始记录
│   ├── TLS证书列表 (cert_inventory_2025.csv)
│   ├── Nginx/TLS配置片段 (nginx_tls.conf)
│   └── 抓包文件示例 (tls_handshake.pcap)
├── 汇总分析
│   ├── 加密协议扫描报告 (tls_scan_report.pdf)
│   └── 弱密码套件清除证明 (weak_cipher_removal.xlsx)
├── 合规声明
│   └── req4_compliance_statement_v2.1.docx (技术负责人签字)
├── 审计演示
│   └── req4_demo_script.md (含 curl/openssl 验证命令)
└── 整改闭环
    ├── 不符合项整改单 (nc_2025_001.docx)
    └── 复测合格报告 (recheck_report.pdf)

  关键原则： 审计员只看 可验证的原始证据，不接受“口头保证”或“未签名的文档”。每条证据链必须有 时间戳 和 责任人标识。

4.5 审计检查要点（按要求分组）

审计员在检查 12 项要求时，会重点核对以下项目：

要求	审计检查高频提问 / 核查点
1	防火墙规则是否每半年至少评审一次？是否有规则变更审批流程？
2	系统配置基线是否覆盖所有网络设备？默认密码更改记录能否追溯到具体日期？
3	持卡人数据存储清单是否完整？加密密钥是否按策略轮换？
4	是否禁用 TLS 1.0/1.1？证书链是否完整且未过期？
5	防病毒软件是否部署在所有系统？扫描日志能否证明周期性运行？
6	开发流程是否包含安全编码检查？第三方库是否做漏洞扫描？
7	ACL 矩阵是否与业务角色对应？权限审批记录是否完整？
8	是否对所有管理访问启用 MFA？共享账户是否有使用登记？
9	机房进出是否有电子门禁记录？访客是否全程陪同？
10	日志是否包含所有关键事件？时间同步是否使用 NTP？保留是否 ≥12 个月？
11	内外部扫描是否覆盖所有系统？渗透测试是否每年至少一次？
12	安全策略是否全员签署？安全培训是否每年覆盖所有员工？

审计红线： 如果 要求3、4、8、10 中任意一项证据链断裂，将直接判定为“不合规”，且可能导致持卡人数据泄露事故。务必优先确保这四项的证据完整性。

4.6 整改闭环：从发现到验证

当证据缺失或不满足要求时，需执行以下 5 步闭环流程：

不符合项登记 — 记录具体要求、缺失证据、风险等级、发现日期
根因分析 — 确定是流程缺失、配置疏忽还是人员意识不足
整改措施制定 — 明确责任人、整改动作、完成时限
整改实施与举证 — 执行变更、补充证据、更新台账
复测与关闭 — 验证整改有效性，由合规负责人签字关闭

整改记录单示例：

【不符合项整改单 · 编号 NC-2025-008】
要求：要求8 — 未对远程管理启用多因素认证
发现日期：2025-04-10
风险等级：严重
根因：运维人员未了解 MFA 部署流程，设备未纳入统一认证平台
整改措施：
  1. 将所有网络设备（交换机、防火墙）纳入 AD + MFA 认证
  2. 更新访问控制矩阵（ACL）并注明 MFA 强制启用
  3. 组织运维团队 MFA 操作培训
整改完成日期：2025-04-18
复测结果：所有远程登录均需 MFA 令牌，验证通过
关闭签字：合规负责人 陈雅  2025-04-20

最佳实践： 整改闭环的每一步都需保留 过程证据（如会议记录、培训签到表、变更审批单），而不只是最终结果。审计员会核查“整改是否真的落地”。

4.7 本章小结与证据就绪检查清单

按 12 项要求逐项自检，确认以下证据就绪状态：

要求	关键证据就绪检查项	状态（✅ / ⚠️ / ❌）
1	防火墙规则清单、网络拓扑图、规则评审记录	_____
2	配置基线文档、默认密码更改记录、扫描报告	_____
3	数据发现报告、加密密钥管理记录、掩码样本	_____
4	TLS 证书清单、协议配置、传输加密测试报告	_____
5	AV 部署清单、扫描日志、更新记录	_____
6	安全开发流程、代码审查记录、补丁管理记录	_____
7	访问控制矩阵、权限审批记录、最小权限策略	_____
8	用户 ID 清单、MFA 启用记录、访问日志审查	_____
9	物理访问清单、访客登记、媒体销毁证明	_____
10	审计日志配置、监控告警规则、日志保留策略	_____
11	漏洞扫描报告、渗透测试报告、IDS/IPS 日志	_____
12	安全策略文档、培训记录、供应商评估表	_____

  行动指引： 使用上表对当前环境进行预评估。凡标记 ❌ 的要求项，需立即启动整改闭环流程；标记 ⚠️ 的项需补充缺失的过程证据。

  完成所有 12 项的就绪检查后，方可进入 第5章：支付SDK适配中的合规映射。