为PCI-DSS 4.0合规性做准备

评估您的基础设施和流程，以支持PCI-DSS要求

关于新版PCI-DSS 4.0要求的重要更新与时间表

PCI-DSS 4.0引入了更新内容，旨在提升持卡人数据的安全性，并适应支付卡行业当前的风险态势与技术发展。这些变更允许企业采取定制化安全措施，前提是其能证明符合安全目标要求。 此外，多因素认证将扩展至持卡人数据环境的所有访问场景，所有网络的加密强度均得到提升。同时，持续风险分析与缓解措施、及时识别安全事件及响应能力的重要性也得到强化。 针对这些新要求设有过渡期，以便企业有时间引入新版标准，同时维持对现有标准的合规性。

为何首席信息安全官应优先处理最新的PCI-DSS更新

遵守这些更新后的标准不仅对合规至关重要，更能有效防范新兴网络威胁与风险。通过实施这些标准，企业可增强抵御违规行为的能力，从而保护企业声誉，并避免因不合规而面临高额罚款。

DSS 4.0生效日期：2024年3月；更新至2025年3月。

PCI-DSS 4.0 强调将持续安全流程融入日常业务运营的重要性。

合规性不能仅限于一次性评估。这种方法对首席信息安全官至关重要，他们需要在组织内部培育安全意识文化并推动主动风险管理。PCI-DSS 4.0的实施通过构建支持安全支付环境的稳健安全基础设施，同样有助于提升业务价值。

您的开发人员是否准备好交付符合规范的软件？

开发人员是实现最高软件安全性的不可或缺——但往往未被充分利用——的关键环节。开发人员必须全面理解PCI DSS 4.0标准，并明确在软件构建过程中可自主控制和集成的要素，将其纳入标准工作流程。

PCI DSS 要求6描述了对安全软件开发和维护的期望。

这包括众多主题，从安全开发标准、开发人员培训到配置和变更管理。所有开发用于持卡人数据网络（CHD）的软件的组织都必须遵守这些规定。

如要求6.2.2所述，从事定制化及客户专属软件开发的软件开发人员，至少每12个月接受一次如下培训：

• 关于与您的职业职能和开发语言相关的软件安全。
• 包括安全的软件设计和安全的编码技术。
• 包括使用安全测试工具来识别软件中的安全漏洞。

该标准还规定，培训至少应包含以下要素：

• 可用的开发语言
• 安全的软件设计
• 安全的编码技术
• 采用技术/方法发现代码中的安全漏洞
• 防止先前已修复的安全漏洞再次引入的方法

此外，开发人员应熟悉所有攻击技术（详见要求6.2.4）。这包括一组攻击类别列表，仅作为示例：

• 注入攻击，包括SQL、LDAP、XPath或其他类型的命令、参数、对象、错误或注入漏洞。
• 对数据和数据结构的攻击，包括试图操纵缓冲区、指针、输入数据或共享数据的行为。
• 对加密技术使用的攻击，包括试图利用弱点、不安全或不适当的加密实现、算法、加密集合或操作模式的行为。
• 针对业务逻辑的攻击，包括通过操纵API、通信协议和通道、客户端功能或其他系统/应用功能及资源，试图滥用或规避应用程序特性与功能的行为。此类攻击涵盖跨站脚本攻击（XSS）和跨站请求伪造（CSRF）。
• 对访问控制机制的攻击，包括试图规避或滥用身份识别、身份验证或授权机制的行为，或试图利用此类机制实施过程中的漏洞的行为。
• 针对在漏洞识别过程中（如要求6.3.1所定义）识别出的所有"高风险"安全漏洞进行攻击。

WieSecure Code Warrior kannSecure Code Warrior helfen, PCI-DSS 4.0-Konformität zu erreichen

最有效的培训方案是采用敏捷学习平台，让合规性成为全面安全编码学习计划的自然延伸。Secure Code Warrior 尤其能通过以下方式Secure Code Warrior 降低安全漏洞风险并提升开发人员生产力：

• 提供关于如何保护PCI数据的扎实、一致的理解，通过填补知识空白并提供精准培训，使用您的开发人员所使用的语言和框架。了解更多详情，请访问我们的学习平台。
• 我们提供持续、可衡量且成熟的技能验证流程，确保培训内容被有效吸收并转化为实践能力。了解更多关于我们的Ready产品——面向开发者的安全代码培训路径 。
• 采用敏捷学习方法开展培训，在具体情境中实现即时学习阶段。通用型、低频次的培训已不再可行，也无法有效降低安全漏洞风险。了解更多我们支持的安全漏洞防护方案。
• 协助记录安全培训和编码标准，有助于在PCI DSS审计中证明合规性。有关PCI DSS 4.0的详细解析，请参阅我们的白皮书《PCI DSS 4.0深度解析》。

‍