pci-compliance

支付数据与 PCI 证据审查

何时使用

审查支付数据流、准备工程控制措施，或为范围明确的 PCI 评估收集证据。本技能本身不认证合规性，也不判定评估资格。

输入与前提条件

确定商户/服务提供商角色、收单机构、处理方集成、处理账户数据的系统以及适用的评估文档。从 PCI SSC 文档库 获取最新文档；与负责的评估员或收单机构确认适用性。

流程

1. 按照 resources/implementation-playbook.md 梳理表单、API、存储、队列、日志、遥测、备份和支持导出。
2. 在适当情况下，优先选择由提供商托管的收集方式。核实应用程序实际接收到的内容；声称已令牌化并不能证明原始账户数据从未到达其他系统。
3. 尽量减少保留的数据，并记录用途、访问、保留期限和删除方式。授权后不得保留敏感认证数据，即使已加密也不例外。不要根据说明性加密片段构建自定义卡片保险库。
4. 将所需控制措施映射到实施证据：网络边界、系统配置、数据保护、访问、监控、测试和运维归属。将未经验证的控制措施标记为缺口。
5. 在日志和响应中使用允许列表中的事件字段。使用合成数据测试嵌套错误和重试；拒绝列表过滤无法预判每一个敏感字段名称。
6. 同时验证角色和资源授权。宽泛的支付角色并不授予访问每位客户支付方式的权限。
7. 生成控制/证据/缺口/负责人表格以及整改计划。将 SAQ 资格、交易阈值和正式证明视为需要依据适用最新指南做出的决定。

示例

输入：结账 webhook 被复制到应用程序日志中。将日志负载替换为已批准的事件类型、内部请求 ID 和结果字段。使用处理方的测试环境演练成功、失败和重试场景。验证日志中不包含合成账户数据标记，并且支付处理仍符合其合同要求。

验证

• 数据流清单与实际集成和遥测一致。
• 访问拒绝不会产生支付或数据副作用。
• 对嵌套数据和异常检查了脱敏处理。
• 证据与实际配置和测试结果相关联，并明确列出缺口。

限制

仅凭加密、托管结账或通过的扫描并不能证明合规。本包不包含自动审计脚本、支付处理方客户端或经认证的加密工具。对于实际环境，请使用经过审查的集成代码和合格的评估；切勿使用真实持卡人数据作为测试夹具。