PCI DSS 合规认证实操考核试题（含详细答案）

PCIDSS合规认证实操考核试题（含详细答案）适用人群：支付行业运维、开发、安全、合规人员考试时长：60分钟满分：100分说明：试题贴合实际工作场景，无空洞理论，答案详细可直接用于学习、补考、内部培训一、单项选择题（共10题，每题3分，共30分）1、以下哪项是PCIDSS标准的核心适用对象？（）A、所有互联网企业用户数据B、存储、处理、传输银行卡交易数据的机构C、所有金融行业企业的全部数据D、仅银行核心交易系统2、PCIDSS要求中，企业最核心需要保护的首要数据是？（）A、商户经营流水B、持卡人原始卡数据（PAN、卡验证码等）C、员工账号密码D、客户手机号、收货地址3、关于银行卡完整卡号（PAN）的存储，以下做法合规的是？（）A、业务系统长期明文存储完整卡号B、日志中记录完整卡号方便排查问题C、仅留存脱敏卡号，核心场景加密短时存储，禁止长期明文保存D、Excel表格备份完整卡号存档4、PCIDSS要求支付相关系统必须定期进行漏洞扫描，对外系统的扫描周期至少为？（）A、每月一次B、每季度一次C、每半年一次D、每年一次5、以下哪个数据属于绝对禁止存储的敏感卡数据？（）A、脱敏后卡号（前6后4）B、银行卡CVV安全码C、持卡人姓名D、交易时间6、支付系统账号密码设置，不符合PCI合规要求的是？（）A、密码长度不少于8位，包含大小写、数字、特殊字符B、定期90天内更换密码C、多人共用同一系统运维账号D、连续登录失败锁定账号7、处理银行卡数据的服务器，正确的网络部署方式是？（）A、直接部署在公网，方便业务访问B、部署在独立内网安全区域，通过防火墙严格管控访问权限C、与办公电脑、普通业务系统同网段部署D、无需划分网络区域，只要安装杀毒软件即可8、PCIDSS要求企业必须留存安全事件日志，日志保留时长至少为？（）A、3个月B、6个月C、1年D、2年9、商户发生银行卡数据泄露事件后，首要操作是？（）A、自行修复漏洞，无需上报B、立即阻断风险、留存证据、按流程上报收单机构及合规审核方C、删除所有交易日志掩盖问题D、暂停营业即可，无需报备10、关于PCI合规自查与认证，小微企业低交易量商户的年度合规方式是？（）A、无需任何合规操作B、自行填写SAQ自查问卷完成合规C、必须每年聘请第三方机构现场审计D、仅需要口头承诺合规二、多项选择题（共5题，每题4分，共20分，多选、少选、错选均不得分）1、以下属于PCIDSS重点管控的支付敏感数据有？（）A、完整银行卡卡号PANB、卡片有效期C、CVV/CVC安全校验码D、银行卡交易PIN码2、以下哪些行为属于PCI违规操作？（）A、客服后台可查看用户完整银行卡号B、支付接口日志打印完整卡号和CVVC、对支付服务器做最小权限访问管控D、长期备份存储用户完整卡信息3、PCIDSS网络安全防护要求包含哪些？（）A、部署防火墙、禁止非法端口对外开放B、定期更新系统补丁、修复高危漏洞C、禁止私设网络、私自接入外网设备D、对支付网段与办公网段进行隔离4、支付系统人员权限管理合规要求包括？（）A、一人一号，独立账号，禁止共用账号B、离职、调岗人员立即回收系统权限C、按需分配最小权限，避免超权限访问D、定期梳理、清理冗余账号5、企业维持PCI合规常态化，需要做哪些工作？（）A、定期漏洞扫描、渗透测试B、全员PCI安全培训，留存培训记录C、制定数据泄露应急预案并定期演练D、定期自查整改，更新合规文档三、判断题（共10题，每题2分，共20分）1、只要企业不主动泄露数据，就不需要遵守PCIDSS标准。（）2、银行卡CVV码仅交易时使用，绝对不能存储、记录、备份。（）3、办公电脑可以随意接入支付内网，方便传输文件。（）4、支付系统日志需要包含登录、操作、异常访问、数据调用等完整记录。（）5、为了方便运维，可以给普通员工开放支付数据库最高权限。（）6、脱敏后的卡号（前6后4）不属于敏感数据，可正常展示、留存。（）7、企业更换支付系统、改版商户后台后，需要重新做PCI合规自查。（）8、弱密码、默认密码只要没人破解，就不算合规问题。（）9、数据泄露事件处置后，无需留存处置记录。（）10、所有处理银行卡交易的商户、机构都必须遵守PCIDSS规范。（）四、简答题（共2题，每题10分，共20分）1、简述PCIDSS的12大核心合规维度（简要概括即可）。2、日常工作中，避免银行卡敏感数据泄露的核心实操措施有哪些？五、案例分析题（共1题，10分）某线下收银商户，收银系统会自动保存用户完整银行卡号、卡片有效期，客服后台可查询全部交易卡信息；运维人员习惯将交易日志导出到私人电脑排查问题，且系统账号多人共用，从未做过漏洞扫描和安全培训。请指出该商户存在的全部PCI合规问题，并给出对应的整改方案。参考答案（详细解析）一、单项选择题答案1、B解析：PCIDSS是银行卡支付数据安全标准，仅约束存储、处理、传输银行卡数据的机构，不覆盖普通用户数据、全部金融数据。2、B解析：标准核心目的就是保护持卡人银行卡原始敏感数据，防范交易数据泄露、盗刷风险。3、C解析：完整卡号禁止长期明文存储、禁止日志留存、禁止表格备份，仅可加密短时用于交易处理。4、B解析：PCI合规明确要求对外支付系统每季度一次漏洞扫描，高危漏洞需及时修复。5、B解析：CVV安全码属于即时交易数据，严禁任何形式存储，其余选项均为可脱敏留存的非严禁数据。6、C解析：多人共用账号无法追溯操作记录，严重违反PCI权限管控、操作审计要求。7、B解析：支付服务器必须独立安全网段，防火墙隔离，禁止公网直接暴露、禁止与办公网段混部署。8、C解析：PCI要求安全日志、交易审计日志留存时长不少于1年，用于合规核查与事件追溯。9、B解析：数据泄露后严禁删日志、隐瞒问题，需第一时间止损、留存证据、上报报备。10、B解析：低交易量小微商户无需现场审计，通过填写SAQ自查问卷即可完成年度合规。二、多项选择题答案1、ABCD解析：完整卡号、有效期、CVV、PIN码均为PCI管控的核心支付敏感数据，需严格防护。2、ABD解析：后台查看完整卡号、日志留存敏感数据、长期存储卡信息均为典型违规操作，C为合规行为。3、ABCD解析：防火墙部署、补丁更新、网络隔离、禁止私接设备均为PCI网络安全基础要求。4、ABCD解析：独立账号、权限回收、最小权限、定期清账号，是人员权限合规的四项核心要求。5、ABCD解析：常态化合规需要漏洞测试、安全培训、预案演练、定期自查整改全覆盖。三、判断题答案1、错误解析：无论是否发生泄露，只要涉及银行卡数据处理，必须常态化遵守PCI标准。2、正确解析：CVV仅用于实时交易校验，禁止存储、截图、记录、备份。3、错误解析：办公网与支付内网必须物理/逻辑隔离，禁止随意接入，防止横向渗透攻击。4、正确解析：完整日志是安全审计、事件追溯的基础，为PCI强制要求。5、错误解析：严格执行最小权限原则，禁止超权限分配，杜绝普通人员接触核心支付数据。6、正确解析：前6后4脱敏卡号无法还原完整卡信息，不属于高危敏感数据，可正常展示留存。7、正确解析：系统改版、架构变更、业务迭代后，需重新自查合规，规避新增风险。8、错误解析：弱密码、默认密码属于合规缺陷，无论是否被破解，均不符合安全规范。9、错误解析：所有安全事件的处置过程、整改记录必须长期留存，作为合规凭证。10、正确解析：所有参与银行卡存储、处理、传输的商户和机构，均在PCIDSS约束范围内。四、简答题答案1、PCIDSS12大核心合规维度（1）搭建安全防火墙，保护支付数据环境；（2）杜绝不安全的系统默认密码，强化账号密码安全；（3）保护持卡人敏感数据，严控数据存储和传输；（4）加密公网传输的支付数据；（5）定期更新系统补丁，防范恶意程序；（6）部署并定期更新杀毒、安全防护软件；（7）严格管控数据访问权限，按需授权；（8）为所有系统用户分配独立唯一账号；（9）限制核心设备和数据的物理访问；（10）留存所有系统操作、数据访问的审计日志；（11）定期开展安全测试、漏洞扫描与合规自查；（12）建立信息安全管理制度，全员落地执行。2、银行卡敏感数据防泄露核心实操措施①数据脱敏：系统后台、日志、页面仅展示卡号前6后4，隐藏中间位数，禁止展示有效期、CVV；②严控存储：不长期存储完整卡号，严禁存储CVV、PIN码，交易完成后及时清理临时数据；③传输加密：所有支付数据公网传输全程采用加密协议，禁止明文传输；④权限管控：一人一号、最小权限，禁止客服、普通员工接触核心敏感数据；⑤日志规范：日志禁止打印、记录完整卡信息，定期清理无效交易日志；⑥设备管控：禁止将支付数据导出至私人设备，核心服务器专人管理；⑦定期排查：季度漏洞扫描、月度权限梳理，及时整改风险问题。五、案例分析题答案一、存在的合规问题1、数据存储违规：系统私自保存完整银行卡号、卡片有效期，违规留存敏感数据；2、数据展示违规：客服后台可查询完整卡信息，权限过度开放；3、数据流转违规：敏感交易日志导出至私人电脑，极大增加泄露风险；4、账号权限违规：多人共用系统账号，无法追溯操作记录；5、安全运维缺失：未按要求开展季度漏洞扫描，无常态化安全检测；6、人员合规缺失：未开展员工PCI安全培训，全员安全意识不足；7、无安全管控机制：未落实数据最小化、权限最小化原则。二、对应整改方案1、清理违规数据：立即删除系统留存的完整卡号、有效期等敏感数据，关闭后台完整卡信息查询权限，全员页面统一脱敏展示；2、规范数据流转：禁止任何私人设备导出支付交易日志，核心日志仅内网服务器留存，严格管控访问权限；3、优化账号权限：注销共用账号，为每位运维、工作人员开设独立账号，按需分配最小权限，离职及时回收；4、落实安全运维：固定每季度开展一次漏洞扫描，发现高