我们目前正在处理但不保存信用卡数据。 我们使用authorize.net API通过自行开发的应用程序授权这些卡。
如果可能，我们希望将影响我们的服务器的所有PCI要求（例如安装反病毒）限制在一个单独的独立环境中。 在遵守合规的情况下，可以做到吗？
如果是这样，什么构成足够的隔离？ 如果不是的话，是否有某个地方明确界定了范围？
上一次我读到PCI标准时，他们的隔离要求非常好（PCI语言的技术术语是缩小PCI兼容环境的范围 ）。 只要这些公然不符合要求的服务器对兼容区域没有访问权限，就应该飞行。 这将是一个完全防火墙的网段，而且防火墙上的规则本身也是PCI兼容的。
在我以前的工作中，我们自己也做了同样的事情。
关键要记住的是， 从PCI兼容的区域来看，所有不在区域内的东西都应该像公共互联网一样对待，不pipe它是否也是同样的networking，也是仓库的公司IP。 只要你这样做，你应该是好的。
这实际上是相当普遍的。 我们经常将计算机称为“PCI的范围”。
此外，“明确”有时不是PCI词汇的一部分。 语言可能是模糊的。 我们发现，有时最简单的方法可能是向审核员询问拟议的解决scheme是否可行。 考虑PCI-DSS V2中的以下内容：
“如果没有足够的networking分段（有时称为”扁平networking“），则整个networking都在PCI DSS评估的范围内。networking分段可以通过许多物理或逻辑手段来实现，例如正确configuration的内部networking防火墙，路由器强大的访问控制列表或限制访问networking特定部分的其他技术。“
这是否意味着正常的networking交换机符合要求？ 他们很容易这样说，但是你去了。 这是“其他技术限制访问networking的特定部分”。 另一个关于范围的我的最爱：
“…应用程序包括所有购买和定制应用程序，包括内部和外部（例如，互联网）应用程序。”
我不确定公元部分，但是我们所有的DC都有HIDS和杀毒软件，所以我怀疑它可能是。