用途：审计存储、处理或传输支付卡数据的应用与基础设施是否符合 PCI DSS v4.0（2025 年 3 月生效），侧重工程侧检查与审计准备，不替代最终合规认证。
主要能力： 一、范围判定优先。将系统分类为 CDE（存储/处理/传输 PAN 等）、connected-to（与 CDE 直接连通且未做补偿性隔离）、security-impacting（为 CDE 提供认证、日志、监控、时间同步、DNS 等安全服务）、segmented（无直接连通且隔离每年验证）；令牌或掩码 PAN 通常出范围，但可逆的替代令牌仍在范围内。要求端到端追踪每一笔支付流。 二、范围缩减工程。优先采用托管支付页（PAN 不进入自有服务器）、令牌化、终端场景 P2PE、防火墙/VLAN/命名空间隔离与 CDE 边界默认拒绝。 三、工程相关要求审计：Req 3 存储数据（PAN 不可读、AES-256、密钥管理轮换、授权后禁止存储 CVV/完整磁道/PIN、默认掩码、备份与日志同样不可读）；Req 4 传输（TLS 1.2+、禁止经邮件/短信/聊天传输 PAN、内网也应加密）；Req 6 安全开发（引用 owasp-audit、api-audit、dependency-audit 等，检查低环境真实 PAN、绕过 SDLC 的直发生产修补）；Req 7 最小必要访问与默认拒绝；Req 8 唯一账号、强认证、CDE 访问 MFA；Req 10 记录并集中日志、时间同步、留存至少 12 个月（近 3 个月可即时调取）、日志完整性保护；Req 11 季度内外网扫描（外网须 ASV）、至少年度渗透测试与隔离验证、文件完整性监控；Req 12 事件响应、第三方管理、安全意识培训。
使用方式：先判定商户级别（Visa 口径）与 SAQ 类型，再按清单输出发现，逐条给 Req 编号、严重性、位置、脆弱配置、修复与验证，并区分 Fixed/Deferred/Accepted Risk，PCI 中接受风险更宜转为补偿性控制并附有效性证据。
限制：本技能只做准备与工程审计，署名 SAQ 或 QSA 出具的 AoC 属独立流程；Level 1 场景仅向 QSA 提供输入。拒绝协助存储 CVV、经邮件传 PAN、绕过令牌化直接采集卡号等违规流程。若发现已泄露，应转事件响应，收单机构通知通常需在 24 小时内。品牌（Visa、Mastercard 等）另有叠加要求，需另行查阅。具体版本条款与价格信息暂未提供。