pci-dss - 我必须符合 PCI DSS 吗？

Question

我正在做的是开发一款财务软件，并将其连接到符合 pci 标准的第三方信用卡公司。我们公司是一家加拿大公司。我们不符合 pci，也不打算符合 pci。但我们希望保存 PAN 的后 4 位数字，以帮助一线人员识别。

如果我只保存 PAN、客户名称、有效期和 PRN 的最后 4 位数字，我是否必须符合 PCI 标准？如果必须，如果我只用 PRN 保存 PAN 的最后 4 位数字，我是否必须符合 PCI 标准？

我阅读了 PCI DSS 文档。它只说如果我保存 PAN，我必须符合 pci，但没有说我是否只保存最后 4 位数字。

谢谢。

Answer 1

PCI-DSS 适用性的决定因素是您是否存储、处理 或传输 主帐号(长号码卡的正面)。

如果您只有 PAN 号码的最后四位数字并且没有以任何其他方式接触到 PAN 的任何其他数字，那么您就不需要满足 PCI 要求。

但是如果你在任何地方都有完整的卡号，即使只是为了处理它，那么你也需要满足 PCI 的要求。

您可以在 PCI 网站上提供的 PCI 标准(2.0 版)第 7 页上查看:https://www.pcisecuritystandards.org/