支付卡營運標準的安全管理層次與精神

其實仔細閱讀整個標準的內容後，筆者發現，在各個 Requirement 的章節中，都會出現對管理及實施要求，例如：

在儲存持卡人資料的必要性中，應建立有效的資料儲存和銷毀的政策、程序和執行步驟，包含至少以下的事項。

又或是要求組織應建立一套有效的資訊安全政策，並實施及落實到全體人員。

筆者在深入閱讀整份標準及其他相關文件之後，並參考其他業界標準 (如 ISO、NIST 等)，深深體會 PCI DSS 並不只是技術實施而已，更深層的意義，在於建立一套有效管理的方法，同時考量全組織各種層級和權責，以發揮主動管理和技術到位的核心價值。

因此，筆者建議對 PCI DSS 有興趣的朋友，或是已經導入實施甚至通過 QSA 審查的組織，進一步思考，對於落實資訊安全的三個層次：資安治理、管理、營運。

有效的安全實施，必須包含三個層級，資安治理、資安管理以及資安基礎營運。也就是，要建立有效的資安基礎環境和管理機制，必須透過有效的資安管理過程來達成，不論是網路基礎建設、系統開發和營運或是環境安全管理等。透過PDCA的循環來思考，需要甚麼樣的資安基礎建設，來滿足至少現階段組織營運安全的目標。一旦建置完成，如何透過有效的監控機制來確保有效執行。藉由定期檢視相關監控數據，進一步思考是否需要調整。而這整個過程執行所產商的數據，是否能夠提供給高階主管作為決策的依據和判斷基準。

中階管理者蒐集到錯誤的訊息，做出錯誤的建議給高階主管，以至於高階主管作出錯誤的決策，導致基礎營運者無法有效實施並滿足整體風險管理目標，這樣的惡性循環，屢見不鮮。

資安治理、資安管理與資安基礎營運的管理要求和模式略有不同，但是他們的基本精神其實是一致的，也就是透過有效的方法來降低營運的風險。讀者可以透過參考各種國際標準或參考文獻，進一步了解其相關內容。筆者未來將陸續就各個層面提供說明。

因此，要認PCI DSS能夠有效的落實，組織絕對不能只靠幾位同仁埋頭苦幹，而是要各層級的管理者同步參與，各司其職，並確保信息正確傳遞、管道暢通，定期檢視與檢討，讓正向循環及安全管理目標能夠融入組織文化與政策，達到持卡人、商號、服務供應商三贏的局面。