PCI DSS：新加坡商户实际要做什么

它是什么，义务从哪里来

PCI DSS（支付卡行业数据安全标准）是卡组织写的，不是政府写的。在新加坡它不是成文法，MAS 也不执行它；商户的义务是通过与收单机构的合同传过来的，而收单机构自己受卡组织规则约束。

这个区别的意义是实务上的，不是法律上的。不会有监管机构的人上门检查您的店有没有做 PCI。可能发生的是：卡组织向您的收单机构追责，收单机构按合同向您追责；这件事会在出事的那一天变成真的。

新加坡的《个人资料保护法》是另一项义务，而且是真正的法律义务。它管的是一般意义上的个人资料，不是专门管卡数据；满足其中一个不等于满足另一个。

决定范围的那一个问题

持卡人数据有没有在您能控制的系统里存在过？问的不是「您收不收卡」（每个商户都收），而是卡号有没有经过、或者停留在您的硬件、您的软件、您的纸面材料上。

最后一行是今天就该处理的那一行。一个写在预订单上、留在邮箱里、或者电话里念出来被记下的卡号，会把商户推进最大的那一档义务；而换来的那点方便，一条付款链接就能解决。

对小商户来说，合规实际上长什么样

对多数商户来说是一份自评问卷（SAQ），不是外部审计。适用哪一份取决于方案，而覆盖「从不接触卡数据的商户」的那几份，比覆盖「接触卡数据的商户」的短得多。

除此之外，还有几件既不贵也不技术、但能顶掉大部分工作的做法：

1. 永远不要把卡号写下来、拍下来或者用邮件发。没有任何一种情况是只能这么做的。
2. 把与支付有关的一切设备的默认密码改掉，包括路由器和终端。
3. 让终端的软件保持更新；这些是服务商推的，不要无限期地拖着。
4. 限制谁能使用终端的管理功能，员工离职就删掉。
5. 用托管收银页，不要自己做收卡表单，除非您有明确的理由并且有人负责它。
6. 问服务商您的方案适用哪一份 SAQ，并把填好的那份留存。

做到这六件事的商户，和没做的商户处境有实质差别，跟纸面文件无关。

服务商承担什么，什么留在您这里

终端、网关和托管收银页属于服务商的范围。用服务商提供的智能终端时（Uniweb Pay 用的是 Sunmi P3），读卡的是收单机构负责的那台设备，商户从头到尾没碰过卡号。

留在商户这里的是围绕它的一切：谁能接触这台设备、您自己的网络上发生了什么、员工有没有把什么东西记下来，以及离职的人是不是还留着登录权限。这几件没有哪家服务商能替您承担，而小商户真正出事，通常就出在这里。

直接问服务商：您提议的这套方案适用哪一份 SAQ，以及我以后加上线上渠道会有什么变化。第一个问题答不上来、或者答得很慢的服务商，本身就说明了一些事。

钱包和二维码在哪个位置

Alipay+、微信支付、银联二维码与动态 PayNow，全程没有卡号到达商户：顾客在自己的 App 里授权，或者扫终端生成的码。从数据处理的角度看，它们是柜台上最简单的几种方式。

这不构成「应该优先推它们而不是卡」的理由，因为用哪一种是顾客的选择。它构成的理由是：别以为加上钱包受理就等于加了义务，通常并没有。

Apple Pay 与 Google Pay 是通过挥卡递上来的一张卡，所以它们归在卡那一侧，不归在钱包那一侧；但同样地，用服务商提供的终端时，卡号不会到达商户。Apple Pay 与 Google Pay 那一页讲了为什么它们不需要单独开通。