PCI DSS v4.0.1 中有多少内容是 ISO 27001 真正覆盖的？

接受银行卡支付且已运行 ISO 27001 ISMS（信息安全管理体系）的组织，往往以为 PCI DSS 只是小幅扩展。数字却说明并非如此。以下按要求逐条对比 ISO 27001 与 PCI DSS v4.0.1 的全部内容，并解释为何差距比主题重叠所显示的更大。

核心数字

在 PCI DSS 的 260 个要求中，77（30%）可映射到 ISO 27001 中的内容，76 个仅弱相关，107 个在本站数据中无映射。 打开差距报告 →

PCI DSS 要求中不到三分之一能映射到 ISO 27001 的任何内容，另有相近比例仅为弱相关。PCI 的几乎每个主题都能在附录 A 中找到某处对应，因此这并非主题缺口，而是细节缺口。

重叠之处

PCI DSS 章节	已映射	弱相关	无映射
Requirement 1: Install and maintain network security controls	4 / 19	3	12
Requirement 2: Apply secure configurations to all system components	2 / 11	3	6
Requirement 3: Protect stored account data	8 / 29	7	14
Requirement 4: Protect cardholder data with strong cryptography during transmission	2 / 6	2	2
Requirement 5: Protect all systems and networks from malicious software	4 / 13	5	4
Requirement 6: Develop and maintain secure systems and software	10 / 19	3	6
Requirement 7: Restrict access to system components and cardholder data by business need to know	3 / 12	3	6
Requirement 8: Identify users and authenticate access to system components	6 / 29	15	8
Requirement 9: Restrict physical access to cardholder data	8 / 27	9	10
Requirement 10: Log and monitor all access to system components and cardholder data	6 / 27	10	11
Requirement 11: Test security of systems and networks regularly	3 / 21	6	12
Requirement 12: Support information security with organizational policies and programs	21 / 37	10	6
Appendix A: additional requirements	0 / 10	0	10

已有 ISO 27001，需要 PCI DSS。 逐条要求： 打开差距报告 →

重叠集中在 PCI DSS 中与任何安全标准相似的部分：各要求开头的政策与角色、要求 12 中的风险与治理、要求 7 中的访问控制原则，以及事件响应。ISO 27001 的管理体系和附录 A 对这些内容覆盖良好。

为何 PCI DSS 的大部分内容是新增工作

PCI DSS 是规定性的，而 ISO 27001 是基于风险的。附录 A 写的是“管理技术脆弱性”；PCI DSS 则规定怎么做、多久做一次、用谁的扫描工具来做。无映射的条目主要是以下这类要求：

• 账户数据处理（要求 3）：授权后绝不可存储的内容、显示时对 PAN（主账号）进行掩码、存储位置上的不可读化处理，以及详细的密钥管理流程。
• 具体频率：每三个月及重大变更后进行一次内部漏洞扫描，由认可扫描服务商（ASV）进行外部扫描，日志审查，以及每六个月一次的访问审查。
• 具体技术设置：进入持卡人数据环境（CDE）的所有访问均需多因素认证（MFA），以及会话超时、密码长度和锁定阈值。
• 支付专属控制：支付页面脚本管理与篡改检测，以及对读卡设备进行篡改检查。
• 针对性风险分析：v4.0 引入了用于确定部分活动频率的风险分析，且必须形成文档。

ISO 27001 允许你通过风险处置自行选择上述所有做法，而 PCI DSS 则替你做了决定。

ISMS 仍能提供的价值

映射到的三分之一并非微不足道。如果 ISMS 的范围包含持卡人数据环境，它将提供政策框架、风险评估、角色、供应商管理、事件响应和内部审计，而 PCI 合规年复一年都依赖这些内容。要求 12 读起来像是 ISO 第 4 至 10 条的摘要，因此已有 ISMS 的组织通常会发现 PCI DSS 的治理部分并不难。

如何规划

1. 将持卡人数据环境纳入 ISMS 范围，并将 PCI DSS 加入你的法律和合同要求（A.5.31）。
2. 运行 ISO 27001 → PCI DSS 差距报告，并将每条未映射的要求视为需要设计的控制措施，而非需要去寻找的映射。
3. 在构建控制措施之前缩小范围：网络分段、令牌化以及外包的支付页面可以将 PCI DSS 的大部分内容移出范围。
4. 在 ISMS 控制中采用 PCI 的频率，使一项控制同时满足两者：ISO 接受任何论证充分的频率，因此选用 PCI 的频率即可。

ISO 27001 与 PCI DSS 对比双向列出了每条要求。PCI DSS 文本的版权归 PCI SSC 所有，因此本站的要求标题为我们自己撰写的简短摘要。

常见问题

ISO 27001 认证能满足 PCI DSS 吗？

不能。无论是否通过 ISO 认证，卡组织都要求完成 PCI DSS 验证（《合规报告》（ROC）或《自评问卷》（SAQ））。ISMS 有助于运行该计划，但大多数 PCI 要求比附录 A 更具体。

ISO 27001 对哪些 PCI DSS 要求覆盖得最好？

治理与政策（要求 12）、访问控制原则（要求 7）和事件响应映射得较好。差距主要集中在具体技术设置、频率和账户数据处理上。