用途：在范围化的 PCI 评估中，审查支付数据流、准备工程控制材料并收集证据。该技能本身不认证合规，也不判定评估资格。
前提：需先明确商户或服务提供商角色、收单机构、处理器集成、处理账户数据的系统及适用评估文档。应从 PCI SSC 文档库获取当前文档，并与负责评估方或收单机构确认适用性。
主要能力：按 resources/implementation-playbook.md 映射表单、API、存储、队列、日志、遥测、备份与支持导出；在合适时优先采用服务商托管的收集方式；核实应用实际接收的数据，因为“令牌化”声明并不证明原始账户数据从未到达其他系统；最小化留存数据并记录用途、访问、保留与删除；授权后不得保留敏感认证数据（即使加密）；不得用示例加密片段自建卡库；将所需控制映射到实现证据，包括网络边界、系统配置、数据保护、访问、监控、测试与运维归属，未验证的控制标记为缺口；日志与响应使用允许列表事件字段；用合成数据测试嵌套错误与重试，因为拒绝列表过滤无法预判所有敏感字段名；同时验证角色与资源授权，宽泛的支付角色不等于可访问所有客户的支付方式。
输出：控制/证据/缺口/负责人表格及整改计划。SAQ 资格、交易阈值与正式证明需依据当前适用指南决定。
限制：加密、托管结账或通过扫描本身不证明合规。该包不含自动审计脚本、支付处理器客户端或经认证的加密工具。应使用经审查的集成代码并由合格评估方针对实际环境评估；切勿使用真实持卡人数据作为测试数据。