问PCI DSS -掩码PAN和记录对PAN的单独访问

EN

我觉得你有个好办法。我发现有趣的是，当用户能够查看结果表中的前六张和最后四张时，他们会抱怨无法立即识别卡号--这不太可能会有两个蒙面号码相同的结果。

您目前实现它的方式是好的，因为它对持卡人数据的访问有非常详细的记录。但是，如果用户有业务需要查看文件中的任何卡号(在蒙面结果表中显示的卡号)，则不能阻止您在结果表中而不是在蒙面结果表中显示完整的卡号。

我同意这项规定的措辞有点混乱：

当显示屏蔽盘时(前六位和最后四位是要显示的最大数字)，这样只有有正当业务需要的人员才能看到完整的PAN。

我对这一要求的重新措辞如下：

为用户显示屏蔽盘时，无需业务需要查看完整的PAN。

如果用户有业务需要，则不限制每次显示多少数据。对您来说，唯一的困难是实现登录，在哪个卡号上实际显示给用户。虽然这并不像单卡方法那样直接，但是您可以在数据库或应用程序中使用许多技术解决方案。

PCI DSS PAN数据(个人帐号)在存储时应遵循以下原则：

1. 在数据库中创建时加密PAN号(通常使用HSM设备)
2. 只有在发生计费操作时才解密PAN号(重复计费，使用存储的号码购买物品等)
3. 将PAN的最后4位数字存储在单独的列(或者最好是单独的dB)中，如果可能的话，可以加密。
4. 只向客户显示最后4位数字，从不提供“透露完整卡号”。

当您解密整个PAN值，将其推送到应用程序服务器，然后只显示其中的一部分时，您的曝光率就会增加。为什么公开客户数据(在内存中)，而这些数据实际上并没有被用于预期的用途？

要回答您的核心问题:通过对敏感数据的使用/存储方式有严格的协议来协调这两个需求，因此您提出的问题已经消除。