Regulation
什麼是PCI DSS？
亦有： PCI DSS 4.0, PCI DSS v4.0.1
支付卡行業數據安全標準，是由支付計劃強制執行的處理持卡人資料的框架。
支付卡行業數據安全標準 (PCI DSS) 是由主要卡片方案，Visa、Mastercard、American Express、Discover 和 JCB，設立的全球強制框架，旨在保護持卡人數據環境。 它適用於任何儲存、處理或傳輸主要帳戶號碼 (PAN) 的實體，要求遵守圍繞網絡安全、存取控制和加密的十二項核心技術和操作要求。
合規級別由年度交易量決定，從處理 600 萬筆以上交易的最高級別 Level 1 到小型商戶的 Level 4 不等。 大多數商戶旨在透過範圍縮減技術來減輕其合規負擔，例如使用由收單機構或支付服務供應商提供的託管支付頁面或 iframe 整合。
這確保敏感數據不會在商戶的基礎設施上保存，通常允許他們透過簡化的自我評估問卷 (SAQ) 而非完整的合格安全評估員 (QSA) 審核來驗證安全性。
實例說明
商戶審核一筆 500 歐元的交易，其中 PCI DSS 是決定性因素。 商戶在決定採用哪種合規處理方式之前，會檢查地理位置、支付類型、客戶狀態和豁免標準。
營運成本是根據不合規風險來建模的，該風險可能超過銷售的處理利潤，相關行動必須在結帳或入職時完成。 第一步是擷取原始請求數據，包括金額、貨幣、發卡國家、MID 以及回應或狀態碼。
第二步是應用商戶的規則集，例如是否重試、質疑、退款、放貨或暫緩審核。 第三步是根據收單機構的報告核對結果，以便財務部門可以看到現金影響。
如果該規則在 2,000 筆類似的每月交易中將結果改善了 50 個基點，商戶就可以額外保護大約 10 筆訂單免受可避免的失敗或損失。
卡組織規則注意事項
這並非完全是針對個別計劃的說明，因為監管義務源自法例、監管機構和本地支付系統規則，而不僅僅是 Visa 或 Mastercard。 計劃規則在操作上仍然很重要，因為它們定義了訊息欄位、責任分配、證據標準和監控後果。
英國和歐洲經濟區的處理方式在脫歐後可能會有所不同，而本地計劃或銀行轉賬渠道可能會採用獨立的規則手冊。 商戶應將計劃合規性和法律合規性視為重疊的控制措施，而非替代品。
對商戶為何重要
從商業角度來看，這會影響合規成本、支付接受度、退款和爭議義務，以及監管或計劃執行的風險。 對於每月處理 500,000 英鎊的商戶，25 個基點的變動價值為 1,250 英鎊，這還未計算爭議、儲備金、支援票證或未能交付成本等次要影響。
在高風險、訂閱、旅遊、數碼商品和跨境模式中，影響會更大，因為發卡機構的決策和計劃監控可能會迅速加劇。 Cardflo 可以透過結合收單存取、MID 路由、協調規則、KYB 審查和相關的退單工具來提供協助，這樣商戶就不會依賴單一處理器的解釋或單一固定的交易路徑。
常見問題
不遵守 PCI DSS 會產生哪些後果？
未能維持合規可能會導致發卡機構處以巨額的每月罰款，這些罰款通常會透過收單機構轉嫁。
如果發生資料洩露，不合規實體可能會面臨交易費用增加、法律責任，以及其商戶帳戶 (MID) 可能被撤銷的風險。
版本 4.0 如何改變商家的合規環境？
PCI DSS v4.0 引入了更嚴格的多因素身份驗證 (MFA) 要求，以及更頻繁的安全控制測試。 它還轉向基於風險的方法，允許組織在如何透過客製化驗證方法證明已達到特定安全目標方面擁有更大的靈活性。
商戶應為 PCI DSS 儲存哪些資料？
儲存交易 ID、MID、收單機構、金額、貨幣、發卡國家、卡組織、回應或狀態碼、時間戳記，以及任何 3DS、豁免、退款或爭議參考。 對於卡交易，請保留授權和清算識別碼，因為結算或退單問題可能會在 30 到 120 天後出現。
對於受規管的流程，請保留客戶同意書和證據記錄，至少保留當地法律或計劃規則要求的期限。 當收單機構報告與訂單系統不符時，良好的記錄可將調查時間從數小時縮短至數分鐘。
應多久檢視一次 PCI DSS？
交易量大的商戶應每週檢視異常率，並每月按卡組織、收單機構、發卡國家、MCC 和支付方式趨勢化主要指標。 如果商戶處理數千份訂單，20 到 50 個基點的變動可能很重要。
財務部門應在結算層面核對現金影響，而風險或支付營運部門應分析根本原因。 僅檢視混合總數會隱藏在單一 BIN 範圍、地區或 MID 上出現的問題。
PCI DSS 通常在什麼閾值下觸發行動？
閾值取決於類別，但商戶應調查任何高於 10% 相對變動或 25 個基點絕對變動的突然變化。 對於爭議和詐騙，卡組織閾值，例如 Visa 監控下的 0.9% 或 Mastercard ECM 下的 1.5%，可能會立即產生升級風險。
對於結算或定價項目，即使是 5 到 15 個基點也足以證明路由或合約審查的合理性。 關鍵是在月底前設定閾值，而不是在處理器發票或卡組織通知到達後。
PCI DSS 在不同的收單機構之間會有所不同嗎？
是的。 收單機構可以不同地映射回應碼、應用不同的風險規則、支援不同的資料欄位，並在不同的週期內結算。
一個收單機構可能會返回一般拒絕，而另一個則會顯示發卡機構建議，允許安全重試。 費用處理也可能因合約而異，特別是對於跨境、外匯、高級卡和替代支付方式。
這就是為什麼使用協調的商戶應按收單機構和卡組織比較績效，而不是依賴單一混合批准或成本數字。
當 PCI DSS 造成損失時，第一個補救步驟是什麼？
從 30 天的樣本開始，並按卡組織、發卡國家、卡產品、支付方式、MID 以及回應或爭議代碼進行劃分。 以現金形式量化風險價值，而不僅僅是百分點。
然後決定修復是營運性的，例如更好的證據或客戶溝通； 技術性的，例如更豐富的資料或 3DS 指標；
還是商業性的，例如不同的收單機構路線。 在一個完整的結算或爭議週期後重新檢查相同的指標，以確認更改有效。
See how PCI DSS plays out in practice
Industries and regions where this term drives real acquiring, routing, or dispute decisions.