PCI-DSS 4.0 的到来比您想象中更快，这是提升组织网络韧性的绝佳契机。

本文的一个版本曾发表于 Security Boulevard。本文经更新后在此联合发布。

今年早些时候，PCI 安全标准委员会发布了支付卡行业数据安全标准 (PCI DSS) 4.0 版本。虽然各组织在 2025 年 3 月之前无需完全符合 4.0 标准，但此次更新是迄今为止最具变革性的版本，要求大多数企业评估（并可能升级）其复杂的安全流程及技术栈要素。此外，企业还需落实基于角色的安全意识培训，并为开发人员提供定期的安全编码教育。

对于银行、金融服务和保险 (BFSI) 行业的公司而言，这是一个提升安全计划的绝佳契机，将开启以人为本的网络韧性新时代。

实现 PCI DSS 4.0 合规面临的最大挑战是什么？

正如组织的安全计划是全方位的，且其复杂性取决于业务需求和可用资源一样，新的 PCI DSS 标准涵盖了广泛的内容。然而，这些标准显示出向“灵活满足安全要求”这一方向的明显转变。在工具、威胁、策略和合规措施瞬息万变的行业中，这一点意义重大。

PCI DSS 4.0 秉持一种理念：实现严密安全最佳实践的目标有多种途径。这固然正确，但似乎更适合安全成熟度较高的组织。对于那些未能客观评估自身内部安全成熟度的企业而言，这留下了很大的出错空间。归根结底，公司必须准备好将安全视为一个持续演进的过程，而非“一劳永逸”的练习。强大的安全文化必不可少，且需要全组织对安全意识做出承诺。

而那些使用代码级工具的开发人员群体，必须具备在任何处理数字资产和交易的业务环境中交付合规、安全软件的能力。

您的开发人员准备好交付合规的软件了吗？

开发人员是实现卓越软件安全不可或缺的一环，这不仅限于满足 PCI DSS 合规性要求。至关重要的是，开发人员需理解 PCI DSS 4.0 的宏观图景，明确自身可控范围，并将其作为软件构建的默认方法进行整合。

以下三个关键领域是开发团队面临的最相关变更：

• 身份验证： 可行的访问控制计划一直是 PCI 合规的关键部分，但 4.0 版本对此进行了升级，要求在内部和外部进行严谨的实施。多因素身份验证 (MFA) 将成为标准，围绕密码复杂性和超时限制的规则也将得到加强。
  
  鉴于身份验证和访问控制安全问题目前是普通开发人员最常面临的挑战，必须开展精准培训，帮助他们在实际代码中识别并修复这些问题。
  
  
• 加密与密钥管理： 我们生活在一个可以通过多种接入点（如网上银行）访问敏感信息的时代。面对高价值数据风险，加密和强大的密码学实践必不可少。开发人员必须确保掌握最新知识，了解信息传输路径、用户访问方式，并确保即使信息落入不法分子之手，也无法被读取。
  
  
• 恶意软件： 在之前的指南中，针对恶意代码的软件保护安全控制被称为“杀毒软件”，但这过于简化了应有的多层防御体系。必须在必要之处应用反恶意软件解决方案，并强制执行持续的日志记录与监控。
  
  此外，开发人员必须拥有涵盖识别易受攻击组件的学习路径，特别是考虑到大多数代码库至少部分依赖于第三方代码。

什么样的培训才算“足够”？

与之前的建议类似，PCI DSS 4.0 建议开发人员“至少”每年接受一次培训。然而，如果认为一年一次的接触点就足以实现安全软件开发，那是远远不够的，也不太可能带来更安全、更合规的软件。

开发人员教育应从 OWASP Top 10 的基础知识开始，并涵盖其他与语言相关且对业务至关重要的漏洞。这应成为持续计划的一部分，旨在不断积累技能，不仅从一开始就将安全融入软件开发，还要将其融入开发人员的思维方式和工作方法中。此外，开发人员及其管理人员的职责必须非常明确。安全应是共同责任，但记录预期并确保其得到妥善履行才是公平的做法。

利用准备 PCI DSS 4.0 合规的这段时间，完全可以在全组织范围内显著提升安全文化，这将为培养您有史以来最具安全意识的开发团队提供肥沃的土壤。

‍