在适当的支持下，开发人员能够引导您的组织实现卓越的PCI DSS 4.0合规性。

本文的一个版本最初发表于 DZone。本文已在此处更新并发布。

支付卡行业数据安全标准 (PCI DSS) 4.0版将几乎改变所有接受电子支付（占绝大多数）的企业或组织的安防体系。毋庸置疑，此次更新对多数企业而言具有变革性意义，要求其升级诸多安全流程，并可能在加密、身份验证、访问控制、密钥管理及其他领域推出新的防护措施——这些领域此前可能进展缓慢。

由于新要求的复杂性，各组织只能在2025年3月之前完全合规。但这个截止日期将比大多数人预期的来得更早。事实上，许多具有前瞻性的公司目前正在采取措施，使他们的开发人员能够驾驭悬而未决的合规格局。

超越开箱即用的训练

开发人员编写了组织大部分基础架构所依赖的代码，因此在实施新的PCI DSS 4.0要求时，他们是一个不错的起点。然而，作为更新的安全意识计划的一部分，大多数开发人员将需要战略支持来提升技能。这是为了确保他们具备实施和维护新标准所要求的更高安全级别所需的经验。

实际上，PCI DSS 4.0的12.6.2条款要求组织实施正式的安全计划，并利用最新的威胁情报和防御技术进行更新。在旧版标准下，基础安全计划甚至"勾选式"的年度合规培训都能满足要求。而新版标准的要求远不止于此，甚至要求安全培训计划针对企业环境中的特定威胁和漏洞进行定制。例如，若身份盗用对组织构成重大威胁，培训就必须针对此问题展开。

很明显，无论从实际角度还是遵守新标准的角度来看，最低限度的培训都不再足够。相反，组织需要为开发人员提供全面、敏捷的学习途径，教会他们如何将安全最佳实践应用到实际的日常工作中。通过超越最低限度的合规性工作，为开发人员提供真正理解安全性所需的资源，组织可以帮助其开发人员做出更好的整体安全决策，同时遵守PCI DSS 4.0。

好消息是，PCI DSS 4.0中的许多新要求都针对大多数开发人员已经熟悉的领域，例如身份验证、加密、访问控制、密钥管理等。当为开发人员提供合适的、相关的和熟悉的资源来提高他们的技能时，组织可以更轻松地为他们做好准备，以应对PCI DSS 4.0要求的新标准和更大的责任。

采用 PCI DSS 4.0 作为基准来提升整体安全性

虽然通过良好的安全教育满足开发者的需求将是成功遵守新的 PCI DSS 4.0 标准的关键，但推动组织走向更好的网络安全的努力并不一定就此结束。诚然，这些要求极为严格，但鉴于多数组织都需要为此付出努力，我们完全可以将此作为契机，推动更全面的安全意识培养与培训体系建设。这不仅有助于满足合规要求，更能逐步塑造积极的安全文化——这种文化将最佳实践置于优先地位，确保组织中的每个人都朝着相同的"安全第一"目标共同努力。

当然，存在一定的学习曲线，但开发人员很可能会付出这样的努力。在埃文斯数据公司的调查中，全球1200多名活跃专业开发人员中，绝大多数表示支持创建安全代码并在组织中建立更佳安全文化的理念。显然，多数开发人员欢迎在开发过程中从战略角度转向安全编码，并重新确立安全优先级。

PCI DSS 4.0规定的安防升级为企业投资改进安全最佳实践和培训提供了绝佳契机，同时有助于在组织内部营造更完善的整体安全文化。

如果开发人员所在的公司投资一项计划，使他们能够将安全编码技能与相关工具和培训相结合，那么开发人员就能更轻松地实现更高的安全成熟度。这反过来有助于营造一种安全文化，在这种文化中，开发人员可以进一步做出更好的决策，从而改善组织的整体安全状况，甚至远远超过严格的新PCI DSS 4.0标准。
‍