上次更新时间：2026年10月16日 12:12
了解PCI合规性、期望、责任、要求和成本。
| 本文档仅供参考，不作为法律、合规或其他专业建议。建议您咨询律师或其他相关顾问等专业人士，以获取针对您具体情况的建议。 |
每一位使用支付卡的Toast客户都必须符合PCI标准，因此了解其含义至关重要。Toast不断加强其支付系统和平台，并代表客户满足更多此类要求。我们PCI计划的最新更新使客户能够更轻松地履行其PCI责任。本文概述了PCI、如何获取责任文档，以及这些变更如何影响Toast客户。
“PCI”是“PCI DSS”的缩写，代表支付卡行业数据安全标准。这指的是一套用于处理顾客支付卡信息的规则，旨在最大限度地降低卡数据被盗的风险。每家接受刷卡支付的企业，即使每月只有几张信用卡，也必须确保其操作方式符合这些要求。这就是“PCI 合规”的含义。
要了解如何实现 PCI 合规，首先必须了解为什么要合规、谁负责执行每项 PCI 要求，以及每年需要做什么。本文旨在帮助减少对 Toast PCI 合规性的困惑，并帮助您确保满足这些要求。
| 对于现有客户和潜在客户，PCI 责任指南可应要求通过客户服务代表、入职顾问或其他销售代表提供。 |
作为 Toast 客户，您必须符合 PCI 合规要求。Toast 也必须符合 PCI 合规要求。请注意，如果您与另一家商户支付服务提供商签订了其他协议（例如，针对不相关的业务线），他们也可能要求您符合 PCI 合规要求。
然而，必须了解这些义务不会重叠：另一家商户支付服务提供商对您施加的任何 PCI 要求均不应包含您的 Toast 设备或服务，因为我们的设备只能用于通过 Toast 的商户处理服务来处理顾客支付卡数据。同样，当您处理针对处理的顾客支付卡数据的 PCI 合规要求时，您针对 Toast 的 PCI 合规性不应包含其他商户服务提供商提供的设备或平台。
这听起来可能显而易见，但 Toast 客户经常错误地认为，由于他们必须提交自我评估问卷 (SAQ) 或获取合规报告 (ROC) 以满足另一家商户支付服务提供商的义务，因此他们必须将 Toast 设备包含在此报告中。Toast 在我们的“QSA 指南”中提供了关于此主题的更具技术性的讨论，该指南可向客户服务代表索取。
现在，谈到在 Toast 设备和平台上符合 PCI 合规性的义务时，当使用 Toast 平台和经批准的设备接受卡支付时，Toast 负责大部分 PCI 要求。
阐明这一点的正式文件称为责任指南。Toast 有多份责任指南，涵盖了我们与支付处理相关的各种产品和功能，您可以向您的入职顾问、客户成功与服务团队或客户支持部门索取。请查阅相应的责任指南，了解您的责任与 Toast 代表您承诺履行的责任之间的详细信息。此外，还有一些共同承担的责任，文档中提供了每一项的详细说明，以便您了解这对您的环境意味着什么。请与您的管理层和 IT 团队合作，实施这些文档中概述的政策，以满足您的 Toast PCI 要求。
简而言之：对于使用 Toast 认证设备和 Toast 平台的面对面交易，Toast PCI 责任矩阵（面对面）中唯一需要您满足要求的章节是 要求 9：限制对持卡人数据的物理访问。如果您使用 Toast 的电子商务解决方案，这些要求也属于 Toast 的责任范围——如果您使用单独的电子商务 API 支付合作伙伴，请查看该合作伙伴自身的 PCI DSS 责任。如需完整细分，请通过您的入职顾问或客户服务部门，或通过 trustcenter.toasttab.com 索取《Toast PCI 责任矩阵（面对面）》和/或《Toast 电子商务支付渠道 PCI 责任指南》。
Toast 很高兴地宣布，其用于所有 Toast POS 产品的支付软件已获得独立验证，并已完成所有受支持的读卡设备和 POS 设备的迁移，以使用强化配置、强加密和微隔离技术。我们现已完成对支付生态系统的独立第三方评估，并确认所有支付设备均达到或超过 PCI 要求，从而无需许多网络级控制。由于这些改进，Toast 很高兴能通过承担许多 PCI DSS 要求的所有责任，将这些改进带来的益处传递给您。
最后，虽然许多 POS 提供商和商户处理机构要求其客户每年提交名为 SAQ（自我评估问卷）和/或 AOC（合规证明）的文档，但大多数 Toast 客户无需提交此类 PCI 合规文档，也无需聘请公司进行漏洞扫描。Toast 不会发送电子邮件要求您填写任何此类文档。如果您收到此类电子邮件，请仔细检查以确定它是否来自其他平台提供商——也许您忘记取消之前的 POS 服务提供商或商户账户了？
说了这么多关于 PCI 要求的内容，它们到底是什么？下表是 PCI DSS 的总体概述。这些要求中的每一项都包含多个子要求，如上所述，这些子要求可能需要由 Toast、您或双方共同执行。请查阅我们的 Toast PCI 责任指南以获取更多信息，包括按责任划分的完整要求列表。
| 目标 | PCI DSS 要求 |
| 构建并维护安全的网络和系统 | 1.安装并维护网络安全控制措施 2.对所有系统组件应用安全配置 保护账户数据 |
| 保护账户数据 | 3.保护存储的账户数据 4.在通过开放的公共网络传输过程中，使用强加密技术保护持卡人数据 |
| 维护漏洞管理计划 | 5.保护所有系统和网络免受恶意软件侵害 6.开发并维护安全的系统和软件 |
| 实施强有力的访问控制措施 | 7.根据业务知情需要限制对系统组件和持卡人数据的访问 8.识别用户并验证对系统组件的访问权限 9.限制对持卡人数据的物理访问 |
| 定期监控和测试网络 | 10.记录并监控对系统组件和持卡人数据的所有访问 11.定期测试系统和网络的安全性 |
| 维护信息安全策略 | 12.通过组织策略和计划支持信息安全 |
未能保持PCI合规的企业会让自己面临数据泄露的风险，这可能导致品牌受损、罚款、卡片更换费、取证审计费用等后果。使用不符合这些要求的销售点系统、电子商务平台和其他支付服务的企业，必须投入时间和费用来保护这些系统，以避免上述后果。使用一个能满足这些需求的平台是明智之举。
幸运的是，Toast就是这样一个平台。它代表其客户遵守了几乎所有的PCI要求。这几乎消除了Toast客户产生额外PCI相关成本的必要。请查阅Toast PCI责任指南以了解更多信息。活跃客户可根据其支付渠道的情况，通过客户服务部门索取这些指南。