什么是持卡人数据？

持卡人数据 (CHD) 是受支付卡行业数据安全标准 (PCI DSS) 保护的支付卡信息。这包括完整的首要账号 (PAN)，以及可能的持卡人姓名、到期日期和服务代码。

CHD 是交易完成后可获得的信息，包括持卡人姓名、卡片到期日期和主要帐号 (PAN)。 

信用卡数据 (CHD) 保护非常重要，原因有很多。客户合规至关重要，这有助于维护信任、遵守法规并避免经济处罚。加密和其他安全措施对于确保敏感数据安全并减少数据泄露可能造成的损害至关重要。

经济损失可能以多种方式发生，包括身份盗窃和欺诈性购买。限制对敏感 CHD 数据的未经授权访问至关重要，因为这可以最大限度地降低潜在经济损失的风险。任何处理信用卡数据的公司都必须维护其客户的信任。CHD 保护对于企业保持合规性并增强其在数据安全方面的信誉至关重要。

持卡人数据 (CHD) 的泄露会对消费者、金融机构和零售商产生重大影响。泄露可能导致财务责任、巨额罚款、法律费用、赔偿成本、声誉损害和客户信任损失。

为了降低这些风险，遵守支付卡行业数据安全标准 (PCI DSS) 至关重要。不遵守可能会导致额外的经济处罚和声誉损害。 

敏感身份验证数据 (SAD) 和持卡人数据 (CHD) 是处理支付的两个关键数据类别。CHD 包含交易确认后可能保留的数据，例如主帐号 (PAN)、持卡人姓名和支付卡到期日期。

为了验证持卡人身份，SAD 包含 PIN 码、磁条或 EMV 芯片上的磁道数据以及卡验证代码/值（CVC、CVV 或 CID）等组成部分。由于 CHD 和 SAD 的安全要求不同，因此了解它们之间的区别至关重要。 

• 商家可以保存 CHD，但如果保存，则需要对其进行加密。但是，即使 SAD 已加密，商家在授权后也不允许存储它。 
• 由于 CHD 比 SAD 的敏感性低，因此商家可以保留 CHD。
• 商家可以使用 CHD 跟踪客户交易。
• 商家不应持有 SAD，因为它比 CHD 更敏感。
• 商家无法使用 SAD 追踪客户交易。 

所有参与卡交易的组织，包括银行、支付网关、商家和服务提供商，都必须遵守 PCI DSS。这适用于任何处理、存储或传输信用卡信息的企业，无论其规模或交易量如何。 

为了保证持卡人在交易和存储过程中的数据安全，每个涉及的组织都必须遵守此流程。信用卡网络协议中规定了合同要求和年度合规性验证，并且信用卡公司也要求进行这些验证。 

第三方处理商 (TPSP) 在处理支付卡时也必须遵守支付卡行业数据安全标准 (PCI DSS)。SaaS 公司必须至少每 12 个月管理和监控其 TPSP 的 PCI DSS 合规性。 

TPSP 必须向 SaaS 组织展示其 PCI DSS 合规性，以便通过年度 PCI DSS 进行验证 合规性审计 或对 TPSP 进行多次随机审计。SaaS 企业应制定计划，每年跟踪 TPSP 的 PCI DSS 合规状态，并跟踪 TPSP 负责的所有 PCI DSS 要求。 

最终，SaaS 组织负责自身的 PCI DSS 合规性。他们必须确保其 TPSP 符合要求，因为它们会影响持卡人数据环境的安全。

财务处罚、声誉损害、客户信任损失和错失的商业机会只是不遵守 PCI DSS 的一些严重后果。

此外，不合规的公司可能会面临法律后果、更高的交易成本、更严格的审计标准或银行合作关系终止。在严重的情况下，不合规性可能导致破产。

支付卡公司可能会对收单银行处以罚款，并将罚款转嫁给商家。特别是，不遵守 PCI DSS 可能会导致每月 5,000 美元到 100,000 美元的罚款，直到合规为止。

持卡人数据不得豁免于 PCI DSS 要求 如果单独使用加密。管理的系统 加密 加密和解密均受 PCI DSS 的管辖，任何包含持卡人数据的环境也是如此，即使数据已加密。但是，管理加密和解密的系统属于 PCI DSS 的范围，但加密的持卡人数据则不在此范围。在存在持卡人数据的环境中，加密并不能使 PCI DSS 的要求失效。