最近美國(guó)國(guó)會(huì)聽證會(huì)正在積極討論P(yáng)CI DSS如何幫助行業(yè)發(fā)展的議題，眾多業(yè)內(nèi)專家都對(duì)PCI表示不滿，并認(rèn)為這種沒實(shí)際作用的標(biāo)準(zhǔn)應(yīng)該取消。

筆者認(rèn)為這些業(yè)內(nèi)專家們應(yīng)該沒有看PCI 安全標(biāo)準(zhǔn)委員會(huì)的“Lifecycle Process for Changes to PCI DSS(PCI DSS生命周期計(jì)劃)”，如果他們仔細(xì)看了的話，他們可能不會(huì)這樣認(rèn)為了。在該計(jì)劃中，委員會(huì)為PCI標(biāo)準(zhǔn)制訂了長(zhǎng)期詳盡的戰(zhàn)略規(guī)劃。

通常大家都不愿意投資于長(zhǎng)期安全計(jì)劃，他們希望能夠獲得立竿見影的效果，盡管事實(shí)上他們從沒有在其設(shè)計(jì)和程序中加入安全概念。很多企業(yè)常常忽視安全問(wèn)題，而只想通過(guò)部署安全設(shè)備就能夠通過(guò)SOX審計(jì)員的審核。

在生命周期計(jì)劃中，PCI委員會(huì)制訂了詳細(xì)的24個(gè)月的周期，主要包括五個(gè)步驟，來(lái)確保企業(yè)對(duì)PCI數(shù)據(jù)安全標(biāo)準(zhǔn)逐步的、分階段的部署和使用。這五個(gè)階段主要包括：部署、反饋、反饋修改、新版本和新版本修訂。委員會(huì)還指出，他們也將為PA-DSS(支付應(yīng)用數(shù)據(jù)安全標(biāo)準(zhǔn))和PED(PIN輸入設(shè)備)安全要求發(fā)布類似的改進(jìn)周期。

PCI生命周期計(jì)劃模仿了Ross Anderson的理念，Anderson認(rèn)為，雖然大多數(shù)基本安全技術(shù)(加密技術(shù)、軟件可靠性、防篡改、安全打印和審計(jì)等)都能夠比較好的理解，但是對(duì)于如何有效運(yùn)用這些技術(shù)方面的問(wèn)題大家的知識(shí)和經(jīng)驗(yàn)都非常有限。Anderson建議采用以工程為基礎(chǔ)的方法來(lái)解決這個(gè)問(wèn)題，而不是簡(jiǎn)單的用安全設(shè)備來(lái)解決這些問(wèn)題。

2006年9月份發(fā)布的PCI 1.1版本受到了廣泛的支持，版本1.2發(fā)布于2008年10月，中間為期兩年的時(shí)間都在進(jìn)行安全更新，從這里來(lái)看，PCI仍然正在完成市場(chǎng)部署階段。

總體的問(wèn)題在于，安全和良好的安全總是需要時(shí)間的，需要進(jìn)行分析、反饋評(píng)估和理解。并且，完成這些步驟后，企業(yè)需要再次重復(fù)一遍，因?yàn)橥{和漏洞都是動(dòng)態(tài)的，總是隨著時(shí)間的推移不斷發(fā)生變化。

PCI DSS的妙處在于它擁有很聰明的概念，包括公開正式反饋過(guò)程、趨勢(shì)分析、影響評(píng)價(jià)、知道和很多嵌入的結(jié)構(gòu)標(biāo)準(zhǔn)。PCI花費(fèi)了很長(zhǎng)的整體的方法來(lái)試圖解決問(wèn)題。

事實(shí)上，在沒有界定“有效運(yùn)行”概念之前，我們無(wú)法回答關(guān)于PCI是否有效的問(wèn)題。最重要的是要記住，PCI是一個(gè)長(zhǎng)期的戰(zhàn)略解決方案，而不是短期的安全修復(fù)項(xiàng)目。

良好的安全性能需要花費(fèi)時(shí)間，PCI安全標(biāo)準(zhǔn)委員會(huì)認(rèn)同這一點(diǎn)，安全專家們也同意這個(gè)觀點(diǎn)，難道大家還有異議?