# PCI DSS v4.0.1：处理支付卡数据的出海企业要满足什么

> 只要存储、处理或传输支付卡数据，或者能影响这些数据的安全，就在 PCI DSS 范围内。最有效的合规策略通常是让卡数据尽量不进入你的系统，这比“全面加固”省力得多。

来源页面: https://assurelane.ai/frameworks/pci-dss/
更新: 2026-10-10 · 来源核验: 2026-10-10

## 要点速览

- 全称: Payment Card Industry Data Security Standard v4.0.1
- 发布/监管方: PCI 安全标准委员会制定；合格安全评估师（QSA）评估；卡组织与收单行执行
- 成果: 合规报告（ROC）或自评问卷（SAQ）及合规证明（AOC）
- 适用对象: 存储、处理、传输持卡人数据的商户和服务提供商
- 地区: 全球
- 典型周期: 视范围差异很大；SAQ 数周，QSA 现场评估常见 3–9 个月
- 有效期: 每年重新验证；部分要求按季度执行（如外部漏洞扫描）

## 关键时间线

- 2022-03: PCI DSS v4.0 发布
- 2024-06: v4.0.1 发布
- 2024-12-31: v4.0 退役，v4.0.1 成为唯一现行版本
- 2025-03-31: 51 项“未来生效”要求成为强制

## PCI DSS 是什么？

PCI DSS 由美国运通、Discover、JCB、万事达和 Visa 等成立的 PCI 安全标准委员会（PCI SSC）制定，通过卡组织与收单行的合同强制执行。它不是法律，但违反可能导致罚款、提高手续费，甚至被停止受理卡支付。

## 12 项核心要求

1. 安装和维护网络安全控制
2. 对所有系统组件采用安全配置
3. 保护存储的账户数据
4. 在开放公共网络传输时使用强加密保护持卡人数据
5. 防范恶意软件
6. 开发和维护安全的系统与软件
7. 按业务需要知悉原则限制访问
8. 识别用户并验证访问
9. 限制对持卡人数据的物理访问
10. 记录和监控所有访问
11. 定期测试系统和网络安全
12. 用组织政策和程序支持信息安全

## 商户还是服务提供商

- **商户**：接受卡支付销售商品或服务，例如跨境电商、游戏内购
- **服务提供商**：为他人存储、处理或传输卡数据，或能影响其安全，例如支付网关、SaaS 中的支付模块、托管服务商

二者的等级划分和验证方式不同，服务提供商通常要求更高。

## 降低合规成本的关键：缩小范围

持卡人数据环境（CDE）越小，需要满足的要求越少。常见做法：

- 使用支付服务商的托管支付页或 iframe，不让卡号经过自己的服务器
- 采用令牌化，系统内只保存令牌
- 网络分段，把仍需接触卡数据的系统与其他系统隔离

## v4.0.1 的变化重点

- 更强调以目标为导向的“定制化实施”方式
- 多因素认证扩大到所有进入 CDE 的访问
- 针对支付页面脚本的管理和篡改检测（要求 6.4.3、11.6.1）
- 定向风险分析，用于确定部分控制的执行频率

## 常见问题

### 用了 Stripe 等第三方支付，还需要 PCI DSS 吗？

仍需要，但范围可能大幅缩小。如果卡号完全由支付服务商的托管页面或 iframe 采集，你通常可以填写较简单的自评问卷（如 SAQ A），但仍须保证支付页面本身不被篡改。

### 有了 ISO 27001 或 SOC 2，可以替代 PCI DSS 吗？

不能。卡组织和收单行只认可 PCI DSS 的 ROC 或 SAQ/AOC。不过三者控制大量重叠，可以共用一套体系。

### 谁决定我们要做 QSA 评估还是自评？

由卡组织规则和你的收单行（商户）或客户（服务提供商）根据交易量和角色决定。年交易量大的服务提供商通常须由 QSA 出具 ROC。

## 参考来源

- [PCI Security Standards Council — PCI DSS](https://www.pcisecuritystandards.org/standards/pci-dss/)
- [PCI SSC — Document Library](https://www.pcisecuritystandards.org/document_library/)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。