在适当的支持下，开发人员能够带领其组织实现PCI DSS 4.0的更高合规性。

本文的原始版本最初发表于 Zona D。本文经更新后在此发布。

支付卡行业数据安全标准（PCI DSS）4.0版将彻底改变所有接受电子支付的企业和组织的安全体系——而这类机构占据绝大多数。 请务必注意：此次更新将对多数企业产生颠覆性影响，迫使它们升级大量安全流程，并可能需要在加密、认证、访问控制、密钥管理等领域部署全新防护措施——这些领域的企业此前可能一直未能及时跟进。

鉴于新要求的复杂性，各组织需在2025年3月前全面达标。然而，这一截止日期比多数人预想的来得更早。事实上，许多具有前瞻性的企业正立即采取行动，助力开发人员应对即将到来的合规挑战。

超越面授培训

组织内的开发人员编写着支撑其大部分基础设施的代码，因此在实施PCI DSS 4.0新要求时，他们理应成为良好的切入点。然而，大多数开发人员需要战略支持来提升技能，这应纳入更新的安全意识计划中。 此举旨在确保他们具备实施并维持新标准所要求的最高安全级别所需的专业能力。

事实上，PCI DSS 4.0的12.6.2条款要求组织实施正式的安全计划，并根据最新的威胁情报和防御技术保持其更新。 在旧版标准下，仅需基础安全计划甚至年度合规培训（即"勾选所有项目"）即可满足要求。而新版标准要求远高于此，甚至要求安全培训计划必须针对企业环境中的特定威胁与漏洞展开。例如，若身份盗窃是某组织面临的重大问题，培训内容就必须涵盖该议题。

显然，最低限度的培训无论从实践角度还是满足新规要求来看都已不再足够。相反，企业必须为开发人员提供全面且灵活的学习路径，教会他们如何将安全最佳实践应用于日常实际工作中。 当企业超越最低合规要求，为开发人员提供真正理解安全所需的资源时，既能帮助开发者整体提升安全决策能力，又能确保符合PCI DSS 4.0标准。

好消息是，PCI DSS 4.0的许多新要求都针对开发人员已熟悉的领域，例如身份验证、加密、访问控制、密钥管理等。 当开发人员拥有充分、相关且熟悉的资源来提升技能时，企业就能更轻松地让他们适应PCI DSS 4.0带来的新标准和更高的责任要求。

采用PCI DSS 4.0作为桥梁以提升整体安全性

虽然通过完善的安全教育来满足开发人员的需求，对于成功符合新的PCI DSS 4.0标准至关重要，但推动组织提升网络安全水平的努力不必止步于此。 诚然，新标准要求严苛，但鉴于多数机构都需付出努力才能达标，我们完全可以将此作为契机，推动全组织范围内的安全意识提升与培训建设。 这不仅有助于组织满足合规要求，更将逐步培育积极的安全文化——这种文化将优先采用最佳实践，确保所有成员朝着共同目标努力：安全至上。

当然存在学习曲线，但开发人员很可能认同这种努力。在Evans Data对全球1200多名活跃专业开发者的调查中，绝大多数受访者表示支持构建安全代码的理念，并致力于在各自组织中建立更完善的安全文化。 显然，多数开发者都乐见这种战略性转变——在开发流程中将安全编码纳入核心，并重新定义安全优先级。

PCI DSS 4.0 要求的安全更新为企业提供了一个绝佳的契机，使其能够投资于更完善的安全实践和培训，并在组织内部建立更优质的整体安全文化。

开发人员若所在企业能投资于相关计划，使其安全编码技能与相应工具及培训相融合，则更易于提升安全成熟度水平。 这反过来有助于建立安全文化，使开发人员能够更自主地做出更优决策，从而提升组织整体安全态势——其成效甚至超越了新出台的严格PCI DSS 4.0标准。
‍