用途
PCI DSS Compliance 是一个面向 DevOps 与安全场景的技能，用于实施 PCI DSS v4.0 要求，保护持卡人数据环境（CDE）中的支付卡数据。它适用于处理、存储或传输支付卡数据的组织，帮助进行 CDE 范围界定、SAQ 类型选择、网络分段、加密与令牌化、访问控制、日志监控、漏洞扫描与渗透测试，以及 QSA 评估或 ASV 扫描准备。
主要能力
SAQ 类型与适用范围
技能提供 SAQ 类型说明，包括 SAQ A、SAQ A-EP、SAQ B、SAQ C、SAQ D 的适用条件与问题数量。同时给出范围缩减策略，例如使用令牌化替换 PAN、使用经过验证的 P2PE 方案、外包支付处理、实施网络分段隔离 CDE。
PCI DSS v4.0 要求概览
技能按 12 个要求域列出 v4.0 要求，包括：网络安全控制（Req 1）、安全配置（Req 2）、保护存储数据（Req 3）、传输加密（Req 4）、恶意软件防护（Req 5）、安全开发（Req 6）、访问限制（Req 7）、用户识别与认证（Req 8）、物理访问（Req 9）、日志与监控（Req 10）、安全测试（Req 11）、策略管理（Req 12）。
网络分段架构
技能提供 CDE 网络分段架构示意，展示互联网、DMZ、CDE、非 CDE 网络之间的防火墙隔离关系，并给出 AWS 安全组配置示例，用于隔离 CDE 应用与数据库，仅允许必要端口与来源访问。
加密与令牌化
技能列出存储数据加密要求（Req 3），包括 PAN 加密算法（AES-256、GCM 或 CBC with HMAC）、密钥存储（HSM 或专用密钥管理服务）、禁止存储的数据（完整磁道数据、CVV/CVC/CAV2、PIN/PIN block）、PAN 显示掩码规则（最多显示前 6 位与后 4 位）、密钥管理要求（Req 3.6）。传输加密要求（Req 4）包括 TLS 1.2 或更高、禁止 SSL/TLS 1.0/1.1、推荐密码套件、证书管理。令牌化策略说明使用格式保留令牌、令牌库隔离、去令牌化需认证 API 调用并记录日志。
漏洞管理与测试
技能提供漏洞扫描与测试命令示例，包括内部漏洞扫描（OpenVAS/Nessus，季度最低要求）、外部 ASV 扫描（季度，需通过，CVSS >= 4.0 无漏洞）、补丁管理命令、渗透测试（年度外部、内部与分段测试）、文件完整性监控（AIDE、OSSEC FIM 配置示例）。
日志与监控
技能列出 Req 10 要求的审计事件、日志条目字段要求、日志保留要求（总计至少 12 个月，其中至少 3 个月可立即获取）、时间同步要求（NTP 配置示例）。
合规检查清单
技能提供 PCI DSS 合规检查清单，覆盖范围界定、网络安全、数据保护、访问控制、监控、测试、策略等类别。
使用方式
该技能以参考文档形式提供 PCI DSS v4.0 要求、配置示例与检查清单。用户可在处理支付卡数据、进行 CDE 范围界定、选择 SAQ、实施网络分段、准备 QSA 评估或 ASV 扫描时查阅。技能中包含 AWS CLI 命令、OpenVAS 命令、补丁检查命令、AIDE 命令、OSSEC 配置片段、NTP 配置片段等示例，可直接参考或调整使用。
适用场景
- 处理、存储或传输支付卡数据
- 为 PCI 评估界定持卡人数据环境范围
- 选择适当的自评问卷（SAQ）
- 实施网络分段以缩减 CDE 范围
- 准备 QSA 评估或 ASV 扫描
- 实施加密、令牌化、访问控制、日志监控、漏洞扫描与渗透测试
限制
技能资料未提供具体收费、价格、平台支持范围、实际效果或完整使用步骤。部分内容为示例配置，实际实施需结合具体环境与合规要求。技能资料未说明其自身运行环境或依赖条件。