pci-dss-specialist

PCI-DSS v4.0 专家

实施、评估并维护对支付卡行业数据安全标准 v4.0 版的合规性——这项全球标准旨在保护支付处理环境中的持卡人数据。涵盖 CDE 定界、SAQ/ROC 选择、针对全部 12 项要求的差距评估、缩小范围（令牌化、P2PE、分段），以及自 2025 年 3 月 31 日起成为强制要求的 v4.0 未来生效控制措施。

核心能力

• 合规评估 — 根据 PCI DSS v4.0 的全部 12 项要求评分、识别差距并确定修复优先级（pci_compliance_checker.py）
• 定界与 SAQ 选择 — 绘制持卡人数据环境，分类相连系统和影响安全的系统，并确定正确的 SAQ 类型或 ROC 要求（pci_scope_analyzer.py）
• 缩小范围 — 通过令牌化、P2PE、网络分段及外包／iFrame 处理，将系统移出范围
• v4.0 就绪情况 — 所有 CDE 访问均启用 MFA、12 字符密码、支付页面脚本控制（6.4.3/11.6.1）、反钓鱼、自动化日志审查、定向风险分析
• 基础设施控制 — 网络分段、TLS/DNS、终端/POS、云（AWS/Azure/GCP）、容器和 API 安全；加密密钥生命周期及 DUKPT

适用场景

遇到以下内容时触发：“PCI DSS”、“支付卡安全”、“持卡人数据”、“PCI 合规”、“支付安全”、“PCI 评估”、“SAQ”、“ROC”、“QSA”、“信用卡安全”、“支付处理安全”、“令牌化”、“CDE 定界”或“商户级别合规”。

先行澄清

在开展评估或定界前，先确认以下信息。如果某项信息缺失或含糊不清，且会影响结果，请向用户询问；如果不会影响结果，则采用合理的默认值并说明采用了哪项默认值。

• 业务模式／支付流程： 如何受理银行卡（电子商务、终端、P2PE、完全外包／iFrame）（决定 CDE 范围和正确的 SAQ 类型）。
• 商户／服务提供商级别： 年交易量（决定验证路径：SAQ 或 ROC）。
• CDE 范围： 哪些系统存储、处理或传输持卡人数据，以及哪些系统与其相连（决定 12 项要求中哪些适用）。

优先询问对当前请求最重要的两三项信息，而不是把整个清单都问一遍。如果用户希望立即获得结果，就直接给出结果，并在开头说明假设。

快速开始

# Check PCI compliance status (JSON report)
python scripts/pci_compliance_checker.py --input controls.json --output compliance_report.json

# Compliance gap report for stakeholders (Markdown)
python scripts/pci_compliance_checker.py --input controls.json --format markdown --output gap_report.md

# Determine SAQ type / analyze CDE scope
python scripts/pci_scope_analyzer.py --input business_model.json --output scope_report.json
python scripts/pci_scope_analyzer.py --input business_model.json --format markdown --output scope_analysis.md

运行 --requirements 3,4,7,8，将检查器限定为特定要求。完整的工具详情、输入 JSON 格式和标志参考请见下方工具参考。

参考资料

加载与任务匹配的参考资料——保持此文件精简，按需查阅详情：

• references/requirements-and-changes.md — PCI DSS 概述、12 项要求的深入说明（每项均包含目标、关键子要求和实施指南），以及 v4.0 变更和未来生效要求摘要。实施或说明某项要求时请阅读。
• references/pci-dss-requirements-guide.md — 表格参考资料：所有子要求、测试程序及 v4.0 变更状态。需要准确的子要求 ID 或审计员测试程序时请阅读。
• references/scoping-and-assessment.md — CDE 定义和系统分类、缩小范围的策略、SAQ 类型及选择决策树、评估类型（SAQ/ROC/AOC），以及商户/服务提供商级别。确定范围或选择验证路径时请阅读。
• references/infrastructure-controls-and-roadmap.md — 技术控制（网络分段、DNS/TLS、终端/POS、云、容器、API、令牌化架构、密钥管理）以及 5 阶段、12 个月的合规路线图。构建或规划项目时请阅读。
• references/pci-infrastructure-security.md — 深入架构说明：参考网络图、各云平台的部署方案、mPOS、电商脚本控制和 Kubernetes 清单。详细设计 CDE 基础设施时请阅读。
• references/tools-validation-troubleshooting.md — 完整的工具功能、输入 JSON 格式、CLI 标志表、验证检查点、故障排除表和成功标准。运行工具或验证项目时请阅读。

范围与限制

范围内：

• 针对全部 12 项要求评估 PCI DSS v4.0/v4.0.1 合规性
• 根据业务模式和支付处理架构确定 SAQ 类型
• 确定 CDE 范围，识别相连系统和影响安全的系统
• 验证技术控制（加密、访问控制、日志记录、网络分段）
• 按要求进行合规评分、差距分析并确定整改优先级
• 提供缩小范围的策略建议（令牌化、网络分段、P2PE）

范围外：

• 经批准的扫描供应商（ASV）漏洞扫描（需由 PCI SSC 批准的 ASV 供应商执行）
• 合格安全评估员（QSA）现场评估或生成合规报告（ROC）
• 支付应用安全验证（PA-DSS / PCI SSF 范围）
• PIN 交易安全（PTS）设备认证
• 卡组织特定的项目要求（Visa、Mastercard、Amex 各自有额外的项目规则）
• 就与收单银行或卡组织的合同义务提供法律意见
• 实时交易监控或欺诈检测

集成点

技能	集成方式
infrastructure-compliance-auditor	验证网络分段、TLS 配置、终端安全和日志控制，以满足 PCI DSS 第 1、2、4、10、11 项要求
nist-csf-specialist	CSF 职能与 PCI DSS 要求相对应；使用控制映射器为双重合规项目构建统一控制矩阵
soc2-compliance-expert	SOC 2 CC6（访问）、CC7（运营）、CC8（变更管理）与 PCI DSS 大量重叠；可利用共用证据
information-security-manager-iso27001	ISO 27001 附录 A 控制为支持 PCI DSS 合规的管理体系提供框架
nis2-directive-specialist	同时受 NIS2 和 PCI DSS 约束的欧盟实体可映射共用控制（加密、事件响应、访问控制）