PCI认证简单回顾

一次完整的认证过程，大概3-6个月左右，费用要看认证的具体要求。需要认证的企业一定要备足文档，整个认证过程，文档和流程占了一半以上左右.....

 

PCI全称Payment Card Industry，即支付卡产业联盟，由Visa、Mastercard、American Express、Discover和JCB共同主导成立于2006年，制定和维护PCI PTS(PIN Transaction Security，产品安全标准)、PCI DSS(Data Security Standards，数据安全标准)和PCI PA-DSS(Payment Application Data Security Standards，支付应用数据安全标准)等安全标准体系，旨在促进保护全球支付行业的交易数据安全。负责制定统一的标准，并开展检测认证工作。

PCI组织主要负责维护四类标准和认证业务。

• 其中PCI DSS是针对系统和账户信息安全的，适用于收单机构、专业化服务公司以及一些大型商户。银行卡检测中心早在2014年就获得了PCI DSS合规评估和安全扫描资质(ASV)授权。目前，较早完成PCI DSS 数据安全标准认证的主要支付网关包括：环讯支付(IPS)、首信易(PayEase)、快钱(99bill)、联款通(AsiaPay)等。
• PCI PA-DSS：支付应用数据安全标准,主要针对于“作为授权或结算的一部分，存储、处理或传输持卡人数据，并出售、分发或许可给第三方的机构”。
• P2PE标准主要是为银行卡产品中需要进行加密的环节提供技术解决方案。P2PE标准主要包括：加密、解密和密钥管理等几部分。
• PCI PTS针对PIN输入设备，也就是各类受理设备，适用于各类终端厂商

如下举例某认证机构的认证流程：

完整的PCI合规建设项目分成三个阶段：准备评估阶段、整改阶段和正式评估阶段。

准备评估阶段，认证机构团队将前往客户现场并与相关技术、业务人员进行访谈，双方将基于业务流程梳理涉卡数据流，并讨论确认持卡人数据环境范围。而后，针对此范围基于PCI DSS标准进行差距分析，准备评估之后，认证机构将提供详细的差距分析报告，该报告中除明确差距（信息安全风险点）以外，还将给出详细的整改建议。
第二阶段整改阶段，客户将根据认证机构所提供的准备评估报告实施整改工作，此过程中，认证机构将全程给予支持帮助，以更好的帮助客户进行标准的解读以及整改措施的建议。待所有不符合项整改完成后，认证机构将进入正式评估阶段。与此同时，双方将确认ASV扫描和渗透测试的时间。
ASV扫描工作将由认证机构通过远程方式开展，协助客户出具扫描通过的ASV报告；
正式评估阶段，认证机构团队审核人员将前往客户现场，通过抽样、访谈、文档审核和记录抽查等方式进行审核。此阶段将最大程度接受并信任第二阶段整改工作的问题追踪结果。全部审核验证通过后，认证机构将出具合规证明（即认证通过）。