将枯燥的 PCI-DSS 合规性转化为对每个人都有意义的实践：第二部分 - CISO 与开发人员意识

这是关于企业 PCI-DSS 合规性系列文章的第二篇。在这一终章中，我们将详细探讨 CTO 和 CISO 如何发挥领导作用，降低网络风险，使合规流程变得顺畅、成功……甚至让开发人员感到一丝乐趣。（错过了第一篇？点击此处查看，了解 AppSec 专家如何利用这一机会获得更好的安全成果）。

PCI-DSS 最佳实践无疑是一项共同责任，但 CISO 和 CTO 可以利用其巨大的影响力，从高层着手打造一个蓬勃发展且积极向上的安全计划。他们是网络安全信任及终端用户相关情绪的领军人物，及早关注安全意识会产生强大的向下渗透效应，帮助开发人员和 AppSec 专业人员获得所需的知识、工具和支持，从而为公司构建稳固的安全态势做出贡献。

保持合规固然重要，但当每个人都理解其背后的“原因”，看到成果并得到正确的引导时，安全计划就能超越法规要求，成为一种本能。

CTO 和 CISO 在建立相互信任方面发挥着重要作用

你最近在浏览网站时，是否曾对提交信用卡信息感到犹豫？除非是那种看起来不太靠谱、为当地披萨店提供在线订餐服务的网页应用，否则这种情况通常很少见，尤其是在大型企业和家喻户晓的在线零售商那里。

当然，除非他们披露了数据泄露事件。

全球住宿业巨头万豪酒店刚刚披露了其三年内的第二次数据泄露事件，此次事件导致 520 万条客户记录被窃。虽然目前看来支付信息似乎并未包含在这次失窃中，但他们在 2018 年那次灾难性的泄露事件中却未能幸免；当时有 3.83 亿客户受到影响，其中 500 万个未加密的护照号码和 800 万个信用卡号码被盗。

如果客户对万豪品牌的信任度还没有降到冰点，我想也快了。这类事件是让 CISO 彻夜难眠的原因，因为他们感觉自己在网络威胁的战争中就像待宰的羔羊。看看 Equifax、雅虎、索尼、塔吉特——这些只是遭受大规模泄露的巨头中的几个例子，它们损失了数十亿条数据记录，造成了数千亿美元的损失，并在其经济核心上留下了客户流失的巨大创伤。这对企业来说是一场灾难（塔吉特报告称，在 2014 年泄露事件后的一个季度里，利润暴跌 4.4 亿美元）。虽然个人通常不会被追究责任——毕竟软件安全应该是共同的责任——但如果你当时恰好在这些机构工作，这绝对不是你希望出现在光鲜简历上的经历。

对于一家处理支付、敏感数据以及拥有“积极客户情绪”这一无形资产的企业来说，如果为了合规而放弃稳健的安全计划，这不仅表明公司处于风险之中，更说明其在创新方面严重滞后。

每个人都应关注客户与企业关系中的信任问题。

除了泄露事件后 IT、开发和安全部门所面临的压力与灾难外，信任因素也是新兴企业长期成功或成熟企业持续增长的关键要素。如果公司因信任丧失而面临经济衰退，你最直接的损失就是工作。

PCI-DSS 法规要求企业承担责任——如上所述，忽视这些精心制定的计划会产生巨大的后果——但它们的效果取决于所实施的安全计划以及参与其中的人员。如果你认真对待、保持警惕并为他人树立榜样，那么你就是在以一种非常积极的方式脱颖而出。

意识就是一切。

一个失败的安全意识计划会让大多数保持 PCI 合规的尝试变得毫无意义。全员安全意识是最佳实践指南中最关键的部分；他们甚至提供了自己的培训模块，指导如何在跨职能角色中实施这些措施，以及在做得好的企业中这些措施的具体表现。

随着我们迈向作为安全软件开发黄金标准的 DevSecOps（其中安全作为共同责任是核心），企业必须投入时间、金钱和精力，确保包括供应商和承包商在内的每个人都具备安全意识并遵循最佳实践。

具备安全意识的开发人员才是合规的开发人员（而且达到这一目标并不一定枯燥乏味）

谈到成为一名“认证”合规的 PCI-DSS 开发人员，并没有太多显而易见的选择。为什么？大概是因为这不可能是一次性的“一劳永逸”练习。

OWASP 组织是全球学习如何防范常见漏洞的最佳平台之一，其“十大安全漏洞”已被正式列入 PCI-DSS 开发人员指南。然而，时刻保持安全意识并磨练技能需要时间和持续的努力。没人希望这项工作变得枯燥乏味、徒劳无功。

积极的安全文化对于企业而言并非“可有可无”；如果企业真正重视安全，就必须将其融入日常运营之中。

开发人员是抵御漏洞的第一道防线。他们是否获得了足够的支持、工具和培训，以履行 PCI-DSS 合规性中属于他们的那份职责？

事实上，真正有效的培训应该是无缝衔接的；它不应像枯燥的说教，而应与日常工作高度相关。这种实践型培训不仅是提升技能的机会，更是一项职业发展举措——对于那些致力于防范漏洞并与团队协作以产出更高标准代码的开发人员来说，这百利而无一害。

想立即测试您的安全编码技能吗？选择您的任务。