通过适当的支持，开发人员能够引导组织实现卓越的PCI DSS 4.0合规性。

本文的某个版本最初发表于。 DZone。本文在此更新并同步发布。

支付卡行业数据安全标准（PCI DSS）4.0版几乎改变了所有接受电子支付的企业或组织的安全信息（绝大多数）。此次更新将为大多数企业带来颠覆性变革，企业可能需要升级大量安全流程，并在加密、认证、访问控制、密钥管理以及此前进展缓慢的其他领域引入新防护措施。

由于新要求的复杂性，组织必须在2025年3月前完全合规。但这个截止日期比大多数人想象的要来得更早。事实上，许多具有前瞻性的企业已开始采取行动，帮助开发人员应对当前的合规环境。

超越复选框训练

组织中的开发人员编写了基础设施所使用的大部分代码，因此在实施新的PCI DSS 4.0要求时，开发人员可视为理想的切入点。然而，作为更新的安全意识计划的一部分，大多数开发人员需要战略性支持以提升技术能力。此举旨在帮助他们积累必要经验，从而实现并维持新标准所要求的更高安全级别。

实际上，PCI DSS 4.0的12.6.2条款要求组织实施正式的安全计划，并利用最新威胁情报和防御技术持续更新安全计划。在旧版标准中，基础安全计划或"勾选式"年度合规培训也能达成目标。而新版标准提出了更高要求，例如要求安全培训计划针对企业环境中的特定威胁和漏洞进行针对性解决。例如，若身份盗用是组织面临的重大问题，则必须通过培训来解决这一问题。

仅靠最低限度的培训，显然已不足以满足实用需求或符合新标准。相反，组织应为开发人员提供全面且灵活的学习路径，指导他们将安全最佳实践融入日常工作。通过超越最低限度的合规努力，为开发人员提供真正理解安全所需的资源，组织能够在满足PCI DSS 4.0要求的同时，增强开发人员整体做出更优安全决策的能力。

好消息是，PCI DSS 4.0的大部分新要求都针对认证、加密、访问控制、密钥管理等领域——这些领域对多数开发人员而言已相当熟悉。当开发人员获得既实用又相关且熟悉的技术提升资源时，组织就能更轻松地应对PCI DSS 4.0所需的新标准和强化责任。

利用PCI DSS 4.0作为基准来全面加强安全防护

通过优质的安全培训来满足开发人员的需求，对于成功遵守新的PCI DSS 4.0标准至关重要。但推动组织实现更优网络安全的努力不必止步于此。诚然， 尽管要求严苛，但多数组织本就需要为此付出努力，因此没有理由不将此作为提升整体安全意识与培训的契机。这不仅有助于满足合规要求，更能开始营造积极的安全文化——优先践行最佳实践，使全组织成员朝着共同的安全优先目标协同努力。

当然存在学习曲线，但开发人员也会为此付出努力。埃文斯数据的调查显示，在全球1200多名活跃专业开发者中，绝大多数受访者表示支持编写安全代码并为组织建立更完善的安防文化。显然，大多数开发者都欢迎将安全编码作为战略性转变并获得支持，同时欢迎将安全作为开发流程的一部分进行优先级调整。

PCI DSS 4.0要求的安全升级为企业提供了绝佳契机，使其能够投资于改进的安全最佳实践和培训，并在组织内部建立更完善的整体安全文化。

若企业投资于能将安全编码技术与相关工具及培训相结合的项目，开发人员将更易于提升安全成熟度。这将赋予开发人员超越严格的新PCI DSS 4.0标准的决策权，从而建立安全文化。