借助适当的支持，开发人员可助力贵机构实现超越PCI DSS 4.0标准的合规性。

本文初版曾发表于 Zone D。现已更新并发布于此。

支付卡行业数据安全标准（PCI DSS）4.0版将彻底改变所有接受电子支付的企业或组织的安防体系——这涵盖了绝大多数企业。 请务必注意，此次更新将彻底改变多数企业的安全体系，迫使它们升级大量安全流程，并可能需要部署涉及加密、认证、访问控制、密钥管理等领域的新防护措施——这些领域此前可能长期被忽视。

鉴于新要求的复杂性，各组织需在2025年3月前实现全面合规。但这个截止日期比多数人预想的要来得更早。事实上，许多前瞻性企业正采取行动，助力开发人员应对悬而未决的合规挑战。

超越勾选式培训

企业开发人员编写的代码支撑着其大部分基础设施。因此，在实施新的PCI DSS 4.0要求时，他们自然成为良好的切入点。然而，大多数开发人员需要战略支持来提升技能，这需要通过更新的安全意识计划来实现。 这能确保他们具备实施并维持新标准要求的更高安全等级所需的实践经验。

事实上，PCI DSS 4.0标准的12.6.2条款要求企业实施正式的安全计划，并根据最新威胁情报和防御技术持续更新。在旧版标准下，基础安全计划甚至年度合规性培训（即"勾选式"培训）即可满足要求。 新标准的要求远不止于此，甚至要求安全培训计划必须针对企业环境中的特定威胁与漏洞展开。例如，若身份盗窃对某组织构成严重威胁，培训内容就必须涵盖相关防护措施。

显然，无论是从实践角度还是为了符合新标准，最低限度的培训已远远不够。企业应当为开发人员提供全面且灵活的学习路径，使他们能够将安全最佳实践融入日常工作。 通过超越最低合规要求，为开发人员提供真正理解安全所需的资源，企业既能赋能开发者在整体安全决策中做出更优选择，又能确保符合PCI DSS 4.0标准。

好消息是，PCI DSS 4.0标准中许多新要求涉及的领域，如身份验证、加密、访问控制、密钥管理等，都是大多数开发人员已经熟悉的。 当开发人员拥有合适、相关且熟悉的资源来提升技能时，企业就能更轻松地帮助他们适应PCI DSS 4.0标准带来的新规范和更高的责任要求。

采用PCI DSS 4.0标准作为通往更全面安全性的桥梁

尽管通过优质的安全培训满足开发人员需求对成功符合新版PCI DSS 4.0标准至关重要，但推动组织提升网络安全水平的努力不应止步于此。 标准要求固然严苛，但鉴于多数组织都需为此付出努力，我们完全可以借此契机全面提升安全意识与培训水平。 这不仅能帮助组织满足合规要求，更能开始培育积极的安全文化——这种文化将优先采用最佳实践，确保所有成员朝着以安全为导向的共同目标努力。

当然存在学习曲线，但开发人员很可能会认同这样的努力。在埃文斯对全球1200多名活跃专业开发人员进行的调查中，绝大多数受访者表示支持创建安全代码的理念，并致力于在各自组织中建立更完善的安全文化。 显然，多数开发者都支持向安全编码进行战略性、持续性的转型，并在开发流程中重新定义安全优先级。

PCI DSS 4.0标准强制要求的安全升级，为企业提供了一个绝佳契机，使其能够投资于安全最佳实践的改进与安全培训，并在组织内部建立更完善的安全文化体系。

开发人员若所在企业投资于相关计划，使其能够将安全编码技能与相关工具及培训相结合，则更易于达到安全成熟度目标。 这反过来有助于营造安全文化，使开发人员能够做出更优决策，从而显著提升组织整体安全态势——其成效远超严格的新版PCI DSS 4.0标准要求。
‍