確保持卡人數據的臨時存儲符合PCI-DSS要求？

我們必須確定這個臨時數據是持久的，並且刪除符合國防部的安全標準（擦除磁盤上的數據/避免磁盤上的存儲）。確保持卡人數據的臨時存儲符合PCI-DSS要求？

我認爲存儲與Rijndael算法256算法+一個製作祕密到內存緩存加密的數據，但我怕數據丟失/損壞。

我認爲是很好的MySQL和堆內存存儲引擎，但我不知道的東西的可靠性爲止。

關於這個問題的任何想法？

來源

2010-12-16 Christophe Eblé

如果存儲只是暫時的，你絕對相信你需要存儲它嗎？ – 2010-12-16 23:05:53

如果可能的話，將其收割。它通常不值得承擔責任。 – Brad 2010-12-17 05:23:53

@Matt，是的，我們需要存儲數據，因爲我們需要在銀行卡持卡人身份驗證後處理一些信用卡信息。（我們使用Visa和Securecode驗證） – 2010-12-17 05:40:54

它比你期待可能更多的麻煩。只要您將卡片詳細信息保存到磁盤，PCI-DSS的整體重量就會降低。這意味着您的整個網絡（以及公司）都受到嚴密的審查，以確保其安全並遵循最佳實踐建議。

使用AES（256位Rijndael算法）是朝着正確方向邁出的一步，但相比在舉辦PCI兼容密鑰管理系統的難度實際的加密實在是微不足道。密鑰必須拆分（雙重知識），不能與數據存儲在同一個框中，必須至少每年可以旋轉，等等。 Getting key management right is challenging。

雖然最終，你需要證明你來什麼解決方案了是PCI兼容。您通過註冊QSA（合格安全評估師）的協助來證明您的合規性。最好的建議是現在引入QSA，以便他們能夠就採取何種方法提供建議，並在必要時引導您繞過陷阱。

在QSA瞻項目完成時是一個虛假的經濟，因爲如果他們失敗，你的解決方案，再次啓動。

來源

2010-12-18 19:15:17 PaulG

謝謝你的回答，我不知道密鑰管理系統，我會看看這個。 – 2010-12-19 08:34:35

存儲卡數據絕對必要嗎？有些供應商（例如Braintree）可以處理卡片，而不需要您的站點存儲卡片信息，從而減輕您承擔PCI兼容的負擔。

來源

2010-12-16 23:01:58

@Ed，是的，我們需要存儲數據，因爲我們需要在銀行卡持卡人身份驗證後處理一些信用卡信息。（我們使用Visa和Securecode驗證） – 2010-12-17 05:41:38

信用卡驗證後多長時間才能執行內部流程？數據存儲了多長時間？ – 2010-12-17 08:20:11

確保持卡人數據的臨時存儲符合PCI-DSS要求？

回答

相關問題