作爲Web開發人員，我應該填寫哪些SAQ作爲PCI DSS自我評估的一部分？

Question

作爲電子商務應用程序的網絡開發人員，我有義務履行哪些要求作爲自我評估部分。作爲PCI DSS的一部分，我有很多SAQ,s（自我評估問卷）。

在整個開發生命週期中應該關注什麼範圍。

• 發展
• 測試
• 部署
• 任何其他你可能會想方面？

是否有任何開源工具來支持這個過程（評估和跟蹤）等？

Answer 1

只有QSA能給你一個正式答案，但我可以給你一些想法。

如何使用網絡應用程序？這將有助於確定您的範圍：

• 它是僅供您自己使用嗎？最好的方案是使用來自PCI兼容供應商（通常爲支付網關）的iFrame或完整頁面，這可能是SAQ A.如果您需要直接發佈信息（即信用卡信息永遠不會觸及您的服務器），那麼您可以使用SAQ A-EP。如果信用卡號碼觸及你的服務器，那麼它是SAQ D.瞄準SAQ A它會爲你節省一大筆頭痛。
• 您是否將它提供給客戶在他們自己的系統中使用，他們可以控制代碼或服務器？看看PA-DSS。
• 您是否將它作爲服務提供給客戶，他們無法控制系統？那麼你需要SAQ D服務提供商。

看看需求6瞭解SDLC的需求。

工具明智有PCI scoping toolkit，我不知道這就是你要求的。