是否所有源代码都必须符合PCI标准？

如何解决是否所有源代码都必须符合PCI标准？

| 过去，我们从未像通过PayPal进行任何操作那样传输，处理或存储过信用卡信息，因此我们永远不需要遵循PCI。 但是，我们正在启动一个新的在线商店，并且通过无缝结帐来处理信用卡信息，而无需将其重定向到PayPal，我们现在需要PCI合规性。 我们将咨询合格的安全评估公司，以指导我们获得并维护PCI法规遵从性。但是，在他们尝试向您出售您可能不需要的房屋内的所有服务之前，我想咨询他们之前我正在看什么。 在PCI合规性方面，我知道这需要在软件和硬件级别上完成，并满足12分以上的要求。我们正在使用Magento Professional，因为它具有符合PCI的支付系统，并且我们正在与符合PCI的网络托管公司（专用服务器）合作。但是就软件而言，您是否需要在所有方面都符合PCI标准？还是仅仅是传输，存储和处理信用卡信息的软件？ 例如，根据Magento所说，支付软件是PCI兼容的，而Magento平台则不是。因此，这使您可以对Magento进行更改，修改和自定义，而不会影响支付软件的PCI合规性。 换句话说，我要问的是，您是否只需要在处理传输，处理和存储信用卡信息的源代码/软件上符合PCI标准？这些“合格的安全评估公司”给人的印象是，需要检查所有源代码是否符合PCI，这是不可能的！ 例如，对于Magento，我可以对其进行更改和修改并且仍然保持PCI兼容吗？只要支付模块不受影响，因为它符合PCI标准，并且Web托管，服务器和操作系统都符合PCI标准？ 我的意思是不处理信用卡的php，javascript，mysql东西不需要合规吗？他们当然会在同一台服务器上。     

解决方法

        基本答案是，这取决于。通常，仅处理（或可以处理）PCI敏感和受保护数据的源代码才需要符合PCI。但是，这意味着，如果代码的其他区域可以访问安全区域，那么在此也需要安全性。例如，如果应用程序的另一个区域容易受到SQL注入的攻击，则可能会损害您的信用卡系统。这就是为什么有些人倾向于所有软件都符合PCI标准的原因。必须一定保证可以利用编写不良的软件来破坏数据的安全性。 我说这是因为检查人员总是有一定的解释空间。但是，好消息是，在所有标准中，PCI似乎是您需要做什么和不能做什么的最直接，最具体的方法。以下是有关PCI直接说明的更多信息： https://www.pcisecuritystandards.org/documents/infosupp_6_6_applicationfirewalls_codereviews.pdf 这里的基本问题是确保该站点不能在任何地方被利用。如果您在应用程序区域之间建立了足够的“防火墙”（信用卡数据与普通网站），那么将表明您只需要扫描一些代码就可以走很长一段路。另外，如上述文档所述，您不必为了遵守PCI标准而进行源代码审查。但是，您的应用程序需要进行广泛的测试，以确保它免受典型漏洞的影响。     ,        我无法谈及PCI合规性的法律细节，但是如果我是您系统的审核员，那么如果有任何非认证代码与运行认证代码的用户名相同，我会大声尖叫。 我还要仔细查看系统上有哪些setuid / setgid可执行文件，以0或高1的形式运行的可执行文件，这些文件可能会影响与PCI兼容的软件，因此我可能需要诸如AppArmor之类的强制性访问控制工具，SElinux，TOMOYO或SMACK，以及适当的配置，可以防止不受信任的执行域篡改服务器的PCI兼容部分。