PCI DSS 支付卡数据安全合规

要解决什么问题

只要系统接触、存储或传输持卡人数据（PAN、有效期、CVV 等），就很可能落在 PCI DSS 评估范围内。常见痛点包括：不清楚该填 SAQ A 还是 SAQ D、PAN 是否必须加密、能否存 CVV、如何把自研支付链路从「全量要求」缩到可维护的合规面，以及审计前缺少可执行的检查项与验证方法。

技能如何帮你落地

本技能以 PCI DSS 十二项核心要求为骨架，把网络与防火墙、数据保护与加密、漏洞与安全开发、访问控制、监控与测试、信息安全策略串成可执行路径。它会引导你：

• 明确目标与约束：交易量级（Level 1–4）、是否托管支付、是否内嵌 JS 表单、系统是否碰卡数据
• 数据最小化与范围收缩：托管支付（如 Stripe Checkout）、令牌化、网络隔离、外包给合规 PSP，以及「绝不存储」禁止类字段
• 关键技术点：静态/传输加密（如 TLS 1.2+、AES-256）、RBAC、审计日志、输入校验
• 自评估与清单：对照 SAQ A / A-EP / D 的差异，并使用检查清单与 resources/implementation-playbook.md、references 与 assets 中的专题文档做逐项验证

需要脚本级示例时，可参照资源中的加密示例与支付系统审计脚本思路。

适用边界

任务与 PCI 合规无关时不要启用本技能；它不替代正式的 QSA/ROC 或法务结论。Level 1 年度 ROC、渗透测试频率等以你所属级别与 acquirer 要求为准；具体 SAQ 选型与 scope 划分仍需结合你的架构与卡数据流做最终确认。