为 PCI-DSS 4.0 合规做好准备

评估您的基础设施与流程，以支持 PCI-DSS 合规要求

PCI-DSS 4.0 新规的关键更新与时间表

PCI-DSS 4.0 引入了多项更新，旨在加强持卡人数据的安全性，以应对支付卡行业当前面临的风险及技术进步。新标准允许组织在证明符合安全目标的前提下采用定制化的安全措施，将多因素身份验证扩展至持卡人数据环境中的所有访问，并强化了跨网络的加密保护。此外，新规更加强调持续的风险分析与缓解，并提升了对安全事件的及时检测与响应能力。这些新要求设有过渡期，以便组织在维持现有标准合规性的同时，有充足时间完成向新版本的过渡。

为何 CISO 应优先关注最新的 PCI-DSS 更新

遵循这些更新后的标准不仅对于维持合规至关重要，更是抵御新兴网络威胁与风险的关键。通过实施这些标准，组织能够增强应对数据泄露的韧性，从而保护自身声誉，并避免因违规而面临的高额罚款。

DSS 4.0 生效日期：2024 年 3 月；强制执行日期：2025 年 3 月。

PCI-DSS 4.0 强调了将持续安全流程融入日常业务运营的重要性

合规性不能仅是一次性的评估。对于致力于在组织内部培养安全意识文化和主动风险管理能力的 CISO 而言，这种方法至关重要。拥抱 PCI-DSS 4.0 还有助于构建稳健的安全基础设施，为安全可靠的支付环境提供支撑，从而创造业务价值。

您的开发人员准备好交付合规的软件了吗？

开发人员是实现卓越软件安全不可或缺——却往往未被充分利用——的一环。至关重要的是，开发人员必须理解 PCI DSS 4.0 的宏观背景，并明确他们在软件构建的默认流程中可以控制和整合哪些内容。

PCI DSS 的要求 6 概述了开发和维护安全软件的期望

这涵盖了从安全开发标准、开发人员培训到配置和变更控制管理等多个方面。任何开发用于持卡人数据网络 (CHD) 软件的组织，均须遵守这些规定。

正如要求 6.2.2 所述，从事定制软件开发的软件开发人员必须至少每 12 个月接受一次培训，内容如下：

• 与工作职能和开发语言相关的软件安全知识。
• 包括安全软件设计和安全编码技术。
• 包括如何使用安全测试工具来检测软件中的漏洞。

该标准进一步指出，培训应至少包含以下内容：

• 所使用的开发语言
• 安全软件设计
• 安全编码技术
• 用于发现代码漏洞的技术/方法
• 防止重新引入已修复漏洞的流程

此外，开发人员应熟悉所有攻击技术（详见要求 6.2.4）。以下是作为示例的攻击类别列表：

• 注入攻击，包括 SQL、LDAP、XPath 或其他命令、参数、对象、故障或注入类型的缺陷。
• 针对数据和数据结构的攻击，包括试图操纵缓冲区、指针、输入数据或共享数据的行为。
• 针对加密使用的攻击，包括试图利用薄弱、不安全或不当的加密实现、算法、密码套件或操作模式的行为。
• 针对业务逻辑的攻击，包括试图通过操纵 API、通信协议和通道、客户端功能或其他系统/应用程序功能和资源来滥用或绕过应用程序特性的行为。这包括跨站脚本 (XSS) 和跨站请求伪造 (CSRF)。
• 针对访问控制机制的攻击，包括试图绕过或滥用识别、身份验证或授权机制，或试图利用此类机制实现中的弱点的行为。
• 通过要求 6.3.1 中定义的漏洞识别流程所确定的任何“高风险”漏洞进行的攻击。

Secure Code Warrior 如何助您实现 PCI-DSS 4.0 合规

最有效的培训方案是采用敏捷学习平台，让合规成为全面安全代码学习计划的自然成果。具体而言，Secure Code Warrior 可通过以下方式帮助贵公司减少漏洞并提高开发人员的工作效率：

• 通过弥补知识盲区，并针对开发人员使用的语言和框架提供精准培训，确保他们对如何保护 PCI 数据有扎实且一致的理解。了解更多关于我们 学习平台的信息。
• 提供持续、可衡量且成熟的技能验证流程，确保培训内容已被吸收并付诸实践。了解更多关于我们为开发人员准备的 安全代码培训路径。
• 通过敏捷学习方法进行培训，提供即时且具情境化的微学习课程。泛泛且低频的培训已不再适用，也无法达到预期的漏洞减少效果。了解更多关于我们 支持的漏洞类型
• 的信息。协助记录安全培训和编码标准，这有助于在 PCI-DSS 审计期间证明合规性。如需深入了解 PCI-DSS 4.0，请查看我们的白皮书：《PCI DSS 4.0 深度解析》。

‍