在正确的支持下，开发人员可以引领您的组织实现卓越的 PCI DSS 4.0 合规。

本文最初发表于 DZone。经更新后在此同步发布。

支付卡行业数据安全标准 (PCI DSS) 4.0 版本将彻底改变所有接受电子支付的企业或组织的安全性，而这涵盖了绝大多数企业。毫无疑问，此次更新对大多数企业而言都具有变革意义，要求它们升级许多安全流程，并可能需要在加密、身份验证、访问控制、密钥管理及其他此前可能未受重视的领域部署新的保护措施。

鉴于新要求的复杂性，各组织必须在 2025 年 3 月前实现完全合规。但这一截止日期比大多数人预想的要快。事实上，许多具有前瞻性的公司现在就已经开始采取行动，助力其开发人员应对即将到来的合规环境。

超越“打钩式”培训

组织的开发人员编写了基础设施所依赖的大部分代码，因此在实施新的 PCI DSS 4.0 要求时，从他们入手是明智之举。然而，大多数开发人员需要战略性支持来提升技能，作为更新后的安全意识计划的一部分。这是为了确保他们具备实施和维护新标准所要求的高水平安全性所需的经验。

事实上，PCI DSS 4.0 的 12.6.2 要求各组织实施正式的安全计划，并根据最新的威胁信息和防御技术进行更新。在旧标准下，基础的安全计划甚至“打钩式”的年度合规培训就能达到目标。而新标准的要求则高得多，甚至要求安全培训计划必须针对公司环境内的特定威胁和漏洞。例如，如果身份盗用是该组织面临的一个重大问题，那么培训就需要解决这一问题。

显而易见，无论是从实践角度还是从符合新标准的角度来看，最低限度的培训已不再足够。相反，组织需要为开发人员提供全面、灵活的学习路径，教导他们如何将安全最佳实践应用于日常实际工作中。通过超越最低合规要求，并为开发人员提供真正理解安全所需的资源，组织可以赋能开发人员做出更好的整体安全决策，同时实现 PCI DSS 4.0 合规。

好消息是，PCI DSS 4.0 中的许多新要求都针对开发人员已经熟悉的领域，如身份验证、加密、访问控制、密钥管理等。当开发人员获得合适、相关且熟悉的资源来提升技能时，组织就能更轻松地帮助他们为 PCI DSS 4.0 所要求的新标准和增加的责任做好准备。

以 PCI DSS 4.0 为契机，全面提升安全性

虽然通过良好的安全教育来满足开发人员的需求是成功符合新 PCI DSS 4.0 标准的关键，但推动组织实现更好网络安全的工作并不应止步于此。没错，这些要求非常严格，但既然大多数组织都需要努力去合规，那么何不以此为跳板，全面启动更好的安全意识和培训工作呢？这不仅能帮助组织满足合规要求，还能开始培养一种积极的安全文化，优先考虑最佳实践，并确保组织中的每个人都朝着同一个“安全第一”的目标努力。

当然，这需要一个学习过程，但开发人员很可能会支持这项工作。在 Evans Data 对全球 1,200 多名专业开发人员进行的调查中，绝大多数受访者表示支持编写安全代码以及在组织内建立更好的安全文化。显然，大多数开发人员都欢迎向安全编码进行战略性、有支持的转变，并重新将安全作为开发流程的一部分。

PCI DSS 4.0 强制要求的安全升级为公司提供了一个绝佳的契机，促使它们投资于改进的安全最佳实践和培训，并在组织内部拥抱更好的整体安全文化。

如果公司投资于一个能让开发人员将安全编码技能与相关工具和培训相结合的计划，他们就能更容易地实现更高水平的安全成熟度。这反过来又有助于营造一种安全文化，使开发人员更有能力做出更好的决策，从而在 PCI DSS 4.0 严格的新标准之外，进一步提升组织的整体安全态势。
‍