23 分钟阅读 PCI DSS DMARC 要求：第 5.4.1 节的要求（以及它不要求的内容） PCI DSS DMARC 要求是每个 IT 管理员在支付审计之前都会问的问题——而诚实的答案比大多数供应商页面承认的要准确得多。PCI DSS v4.0.1 并不强制要求 DMARC。要求 5.4.1 使自动反钓鱼机制成为强制性要求，标准的指导栏目将 DMARC、SPF 和 DKIM 列为示例反欺骗控制——这一要求自 2025 年 3 月 31 日以来在每次评估中有效。那么，PCI DSS 非常需要 DMARC 吗？从名称上来说并不是。实际上，这是评估人员预计您将指向的控制。本指南是针对 IT 经理、DevOps 负责人或合规性负责人，他们面对 PCI 评估，试图将标准所述内容与供应商博客所宣称的内容区分开来。您将获得第 5.4.1 节的逐字文本，哪些电子邮件身份验证协议满足该要求，逐步如何实施它们，以及导致审计失败的错误。这里的一切都直接引用自标准——不是意译——并且保持示例与强制性要求的区分清晰，因为这种区分正是竞争对手指导不准确的地方。要获取各个协议的永久性分解，请从我们的 PCI DSS 协议参考开始。什么是 PCI DSS v4.0.1？PCI DSS（支付卡行业数据安全标准）是任何存储、处理或传输持卡人数据的组织的合同安全标准——从全球零售商到经营单一支付终端的小企业。版本 4.0.1 由 PCI 安全标准委员会 (PCI SSC) 于 2024 年 6 月 11 日发布，是唯一的活跃版本。理解 PCI DSS 4.0 的要求始于版本时间线，因为这些日期驱动着您的审计义务。v4.0.1 是一个有限的、澄清性的修订——没有新增或删除任何要求，也没有改变任何生效日期。它的前身按照公布的时间表于 2024 年 3 月 31 日退役了 v3.2.1，并于 2024 年 12 月 31 日退役了 v4.0，留下 v4.0.1 作为您将被评估的唯一标准。持卡人数据环境（CDE）——存储、处理或传输支付卡数据的系统，以及与其连接的任何东西——定义了以下每个要求的范围。该标准将其控制组织为 12 项主要要求，分为 6 个控制目标： 控制目标 要求 重点 建立和维护安全网络与系统 1-2 防火墙、安全配置 保护账户数据 3-4 存储数据加密、传输数据加密 维护漏洞管理程序 5-6 反恶意软件/反钓鱼、安全开发 实施强有力的访问控制措施 7-9 访问限制、身份验证、物理安全 定期监控和测试网络 10-11 日志记录、安全测试 维护信息安全政策 12 政策、安全意识培训 PCI DSS v4.0.1 的 6 个控制目标及其 12 项主要要求。要求 4 和 5 是管理电子邮件的两个要求。两个控制目标直接涉及电子邮件：要求 4（传输中数据的加密）和要求 5（反钓鱼控制）。这两者将在下面讨论。在 v4.0 中的一个结构性变化也影响了您如何满足这些要求。该标准现在提供了自定义方法与传统的定义方法并存。在定义方法下，您按照书面规定实施控制；在自定义方法下，您通过自己的设计控制满足所陈述的安全目标，且以文档化的定向风险分析为支持，并经评估人员验证。对于电子邮件身份验证，这意味着您可以通过替代的反钓鱼机制满足第 5.4.1 节——但实际上，命名的示例控制是审计人员期望看到的内容。v4.0 的变化：第 5.4.1 节 反钓鱼控制 第 5.4.1 节在 v4.0 中是新的，在 v3.2.1 中没有等效项——这是 PCI DSS 4.0 的重点变化之一。第 §5.4 节的标题为：“反钓鱼机制保护用户免受钓鱼攻击。”该要求本身简短且具有约束力：“有过程和自动机制到位，以检测和保护人员免受钓鱼攻击。”——PCI DSS v4.0.1，第 5.4.1 节（定义方法）这就是所有的约束性文本，直接来源于 PCI SSC 文档库中的 PCI DSS v4.0.1 标准。注意它没有说什么：它没有命名任何协议、供应商或政策级别。反钓鱼命令是以结果的形式书写的——检测和保护的自动机制——选择机制的权利在于您。DMARC 仅在与要求伴随的指导栏目中提及：“在制定反钓鱼控制时，鼓励实体考虑结合多种方法。例如，使用反欺骗控制，如基于域的消息认证、报告与一致性（DMARC）、发件人策略框架（SPF）和域名密钥识别邮件（DKIM）