到 2025 年 3 月，PCI 数据安全标准 4.0 版将强制实施DMARC。 PCI 数据安全标准 4.0 版中强制实施。DMARC 是 PCI SSC 推荐的未来要求，可保护公司免受网络钓鱼等基于电子邮件的攻击。在截止日期之后，处理银行卡数据的公司必须实施 DMARC，以进行强大的电子邮件验证。
A DMARC策略p=拒绝或p=隔离的DMARC策略对于防范欺骗攻击至关重要。本文将带您了解DMARC PCI DSS合规法规，以及为什么它对企业实施数据保护非常重要。
什么是PCI SSC和PCI DSS标准？
PCI SSC 是支付卡行业安全标准委员会（Payment Card Industry Security Standards Council）的缩写，是一个全球性组织，负责制定和维护 PCI数据安全标准（PCI DSS）。
它联合了包括万事达卡、发现卡、美国运通卡和维萨卡在内的主要银行卡网络，共同制定和推广保护支付卡交易的必要安全标准。
PCI DSS的目标是什么？
PCI数据安全标准是一套全面的安全标准，旨在确保在支付卡交易过程中保护持卡人的数据。
- 保护持卡人的数据： PCI DSS的主要目标是保护持卡人在支付卡交易过程中的敏感信息，防止未经授权的访问或盗窃。
- 建立安全的支付卡环境：该标准概述了商户建立和维护安全支付卡环境的要求，包括安全网络基础设施、访问控制和加密。
- 实施适当的保护措施：PCI DSS规定了具体的安全措施，如防火墙、防病毒软件和安全编码实践，以保护持卡人数据。
- 保持持续的安全实践：PCI DSS强调持续监控和维护安全措施的重要性，包括定期进行漏洞扫描、渗透测试和员工安全意识培训。
- 确保整个支付卡行业的合规性：PCI数据安全标准提供了统一的合规框架，确保整个支付卡行业采取一致的安全措施，提高支付生态系统的信任度。
PCI DSS v4.0即将提出的要求--有哪些新内容？
PCI DSS v4.0取代了PCI DSS 3.2.1版本，以应对日益严重的由尖端技术精心策划的网络安全威胁。PCI DSS v4.0能够更好地应对网络威胁方面的最新技术发展，并充分解决这些问题。
以下是变更摘要：
- 为不同组织量身定制的网络安全解决方案
- 强化测试程序，确保安全
- 更加注重网络安全控制
- 更加注重强大的加密技术，确保持卡人的数据安全
- 删除多余要求
- 强制部署DMARC
阅读全部变更清单: PCI DSS变更摘要
PCI DSS v4.0何时生效？
PCI DSS v4.0将于2025年3月全面实施，因为旧版本将于2024年3月到期。预计各组织将迁移到新的政策和要求，以符合最新的变化。
DMARC PCI DSS最佳实践和建议
PCI SSC认识到DMARC作为电子邮件验证最佳实践的重要性，并建议实施DMARC以加强安全措施。
根据PCI DSS DMARC指南，企业可以强化其电子邮件基础设施，防范域名欺骗攻击。
作为PCI DSS要求的DMARC实施
在即将推出的PCI DSS 4.0版本中，处理、存储或传输银行卡数据的企业必须实施PCI DSS DMARC。
到2025年3月，企业必须确保PCI DSS DMARC与SPF（发件人策略框架）和DKIM（域键识别邮件）等补充措施同时实施，以建立全面的电子邮件验证方法。
根据最新情况采取的补充措施
SPF 和 DKIM 是DMARC在电子邮件验证方面的补充协议。
SPF允许域名所有者为其域名定义授权发件人，而DKIM则使用数字签名验证电子邮件的完整性。
这些协议共同增强了电子邮件的安全性，并可防范基于电子邮件的攻击。
利用DMARC确保全面的电子邮件认证
要有效防范同域欺骗攻击，组织必须制定 DMARC 政策政策。
这可确保未通过DMARC检查的可疑电子邮件要么被拒绝，要么被标记以作进一步检查，从而降低基于电子邮件的攻击风险。
相关阅读 什么是电子邮件认证？
受PCI DSS DMARC影响的行业
医疗保健
医疗保健行业处理敏感的患者信息，包括医疗服务的支付卡数据。
处理信用卡或借记卡付款的医疗机构必须遵守PCI数据安全标准。
DMARC要求，必须实施DMARC，以加强电子邮件安全，防止基于电子邮件的攻击。
零售
零售企业广泛处理银行卡支付，使其成为数据泄露的主要目标。
遵守PCI数据安全标准对于零售商保护客户支付信息至关重要。实施DMARC可增加一个额外的安全层，确保电子邮件通信安全并降低域欺骗攻击的风险。
接待服务
酒店业处理大量的信用卡和借记卡交易，包括酒店、度假村和餐馆。
遵守PCI数据安全标准对这些机构保护客户支付数据至关重要。
通过实施DMARC，酒店业企业可以保护其品牌声誉，并提高电子邮件的安全性，防范网络钓鱼和欺骗。
满足业务需求和客户保护
银行卡数据处理商的强制合规性
对于处理、存储或传输任何形式的银行卡数据的企业而言，遵守PCI DSS标准是必要的。
实施DMARC对于确保全面的电子邮件验证以及防范电子邮件欺骗和网络钓鱼攻击至关重要。
DMARC执行与客户安全之间的差距
在DMARC执行方面存在巨大差距，许多组织需要全面实施DMARC或达到执行水平。
这给客户带来了风险，凸显了缩小这一差距以加强客户保护和安全的重要性。
DMARC对品牌保护和消费者信任的重要性
有效的DMARC实施有助于保护品牌免受欺骗者和不良行为者的侵害，维护品牌声誉并建立客户信任。
通过优先执行DMARC，企业证明了他们对保护客户信息和促进安全支付体验的承诺。
总结
PCI DSS是保护支付交易的重要框架，即将发布的PCI DSS 4.0版本强调了DMARC的强制实施。
各行各业的企业必须积极采用DMARC以及SPF和DKIM等补充协议，以加强电子邮件验证，防范同域欺骗攻击。
通过尽早实施DMARC，企业可以提高其品牌声誉，建立客户信任，并降低基于电子邮件的攻击风险。优先考虑支付安全和DMARC的实施将创建一个更安全、更有保障的数字支付环境。
PCI DSS V4.0 常见问题
哪项PCI安全要求与银行客户数据的物理保护有关？
在该标准中，有一项重要的PCI安全要求与银行客户数据的物理保护有关。 这项要求的重点是确保实施适当的措施，以确保对存储或处理客户数据的区域进行物理访问。 银行可以通过遵守这一要求有效保护客户信息，防止未经授权的物理访问。
为什么v4.0版本的要求被称为未来版本？
PCI SSC已经宣布v4.0的新要求是未来的，因为他们将在旧版DSS退役后为企业提供额外一年（2024年后）的时间来遵守合规要求。
未来对PCI DSS合规性的其他要求是什么？
符合v4.0的其他未来要求如下：
- 优先加密、更新安全密钥并确保证书有效且未过期
- 监控数据存储设备和笔式驱动器等可移动媒体
- 优先考虑网络和应用安全
- 优先考虑密码安全
- 定期用户访问审查
- 区块链能帮助提高电子邮件安全吗？- 2024 年 5 月 9 日
- 数据中心代理：揭开代理世界的神秘面纱- 2024 年 5 月 7 日
- Kimsuky 在最近的网络钓鱼攻击中利用 DMARC "无 "策略- 2024 年 5 月 6 日