作为Web开发人员，我应该填写哪些SAQ作为PCI DSS自我评估的一部分？

Question

作为电子商务应用程序的网络开发人员，我有义务履行哪些要求作为自我评估部分。作为PCI DSS的一部分，我有很多SAQ,s（自我评估问卷）。

在整个开发生命周期中应该关注什么范围。

• 发展
• 测试
• 部署
• 任何其他你可能会想方面？

是否有任何开源工具来支持这个过程（评估和跟踪）等？

Answer 1

只有QSA能给你一个正式答案，但我可以给你一些想法。

如何使用网络应用程序？这将有助于确定您的范围：

• 它是仅供您自己使用吗？最好的方案是使用来自PCI兼容供应商（通常为支付网关）的iFrame或完整页面，这可能是SAQ A.如果您需要直接发布信息（即信用卡信息永远不会触及您的服务器），那么您可以使用SAQ A-EP。如果信用卡号码触及你的服务器，那么它是SAQ D.瞄准SAQ A它会为你节省一大笔头痛。
• 您是否将它提供给客户在他们自己的系统中使用，他们可以控制代码或服务器？看看PA-DSS。
• 您是否将它作为服务提供给客户，他们无法控制系统？那么你需要SAQ D服务提供商。

看看需求6了解SDLC的需求。

工具明智有PCI scoping toolkit，我不知道这就是你要求的。