PCI兼容托pipe？ （可以拿信用卡）

我在几个月前调查了我的小型非营利机构的PCI合规stream程。 在这一点上，PCI合规stream程是一个虚假的。 任何小型企业都不可能遵从PCIauthentication过程，使用符合PCI标准的数据中心。

究其原因，信用卡行业正在试图使过去30年来的这种野兽成为可能。 PCI合规stream程旨在强制企业使用主要的信用卡处理器来处理任何信用卡交易，确保任何信用卡信息绝不会在最终商户的手中（或计算机）。

PayPal PayflowPro过程的工作方式是，您的客户在您的网站上下订单，然后将其转发到PayPal的付款网页（根据您的喜好进行自定义）以实际input付款，然后网关将“OK”网站，说付款已处理。

这与过去发生的事情不同，他们会在您的网站上input信用卡信息，然后将该信息传递给商家网关，然后将您的网站设置为“确定”。 还有其他的商家处理器也在做同样的事情，比如authorize.net和Google Payments 。

这一变化意味着您的网站和托pipe服务器不需要符合PCI标准，因为信用卡信息永远不会通过它。 希望这不会成为一个咆哮，但他们一直在执行PCI和“遵守PCI”的“吓跑”客户的方式，并一路收费，这是一个笑话。

你会发现很多公司愿意向你推销PCI合规服务（即使在这个网站上），但在我看来，它只是蛇蝎。

@Christopher

我完全同意你的看法。 我被一家甚至还没打开过的商店吓到了关店。 直到我自己查看PCI合规性网站（ https://www.pcisecuritystandards.org/index.shtml ）。 我很反感大公司如何吓到小企业付这些PCI合规解决scheme。 PCI合规不是一个法律（ http://www.pcicomplianceguide.org/pcifaqs.php#23 ），但在一个州（马萨诸塞州），没有其他国家积极推动PCI合规法律。 最重要的是，有一个简单的12步检查清单，以确保PCI合规性。 其中不存储信用卡信息，在服务器上有防火墙等。有托pipe解决scheme，在服务器上免费提供防火墙和安全软件。 另外，如果您使用的是支付服务提供商，那么只要您的网站上没有处理或存储卡信息，那么这是他们的工作。 人们用来吓唬小企业的费用和监禁时间只适用于客户由于违规而被入侵的情况。 正如PCI DSS官方网站（ https://www.pcisecuritystandards.org/security_standards/pci_dss.shtml ）所述，商家可以按照以下步骤进行PCI标准authentication，然后进行自我评估调查表和安全扫描应该始终是免费的：

要求1：
安装并维护防火墙configuration以保护持卡人数据
要求2：
不要使用供应商提供的系统密码和其他安全参数的默认值
要求3：
保护存储的持卡人数据
要求4：
通过开放的公共networkingencryption持卡人数据的传输
要求5：
使用和定期更新防病毒软件
要求6：
开发和维护安全的系统和应用程序
要求7：
通过业务需要知道限制对持卡人数据的访问
要求8：
为每个有计算机访问权的人分配一个唯一的ID
要求9：
限制持卡人数据的物理访问
要求10：
跟踪并监控对networking资源和持卡人数据的所有访问
要求11：
定期testing安全系统和stream程
要求12：
维护一个解决信息安全的政策

此外，只要有一个PCI标准的购物车不符合商业PCI兼容。 PCI合规性更多的是服务器/数据库问题。

我同意。 由于信用卡公司正在推动PCI遵守法律。 他们应该免费提供扫描和解决scheme。 信用卡公司为诺顿，McAfee，CA等安全公司创造了一个新的收入来源，并且名单也在不断增长。 我们在这里不需要的是他们要求我们遵守对我们经营的小企业来说成本过高的合规要求。 毕竟，那些为信用卡巨头创造巨额收入的小企业，

那么谁从合规中真正受益？

大多数电子商务商店都在尽全力来保证安全。 现在来指点会议。 这是托pipe公司，这是银行，这是信用卡巨头。 现实说，这是黑客攻击我们的网站的骗子。 谁将使他们符合？

我忘记提及律师=说客和其他方式将从这个虚假其他方面受益。 当我们挂出来晾干。

实现PCI合规性可能是昂贵和耗时的。 根据Ponemon研究所2010年3月的一项研究，平均PCI审计费用在25万美元至50万美元之间，以获得初步合规性。 许多公司第一次通过审核失败，但通过与提供PCI托pipe解决scheme的供应商合作，您可以避开开支和审计。 事实上，它仍然是昂贵的，并提到其信用卡交易安全的行业标准要求的一部分。