信用卡信息泄露事故不断，线上交易平台往往都会及时启动了安全应急响应流程，为潜在风险用户换卡。但看起来比较圆满的安全响应事件，却会引发信息安全界的不少质疑。

信息安全及在线金融服务专业人员们关注的焦点主要有三条：

1.一些网站记录了太多的信用卡信息，包括CVV，不管是以明文还是以加密的方式，这显然和PCI-DSS的精神不符，专家们在质疑PCI DSS落地情况，为线上交易平台提供PCI DSS牌照相关信息安全评估、审计与认证的服务商也受到了指责；

2.在安全支付服务器系统中进行在线调试，而且是“线上竟长时间打开调试功能”，显然和IT管理中“测试系统与生产系统分开”的基本软件开发及变更管理精神严重不符，线上交易平台的IT服务管理实践受到了质疑。

3.服务器未做严格的基线安全配置，存在目录遍历方面的安全漏洞。核心后台服务器缺乏基本的安全加固措施，让黑客可以从外部轻易获得相关明文日志信息，看起来基本的信息安全管理措施和流程很不到位。

不过话说过来，人人都是马后炮。昆明亭长朗然科技有限公司金融行业信息安全顾问James称：显然线上交易平台信用卡门只是冰山一角，这不仅仅是知名电商对支付卡行业数据安全标准PCI-DSS的合规遵循问题，而是信息安全相关的认证和监管生态出现了严重问题！

多数甲方将赚钱放在第一位，相关的认证和牌照只是拿来争取政府的补助和展示给客户看，其实质并不注重长久的数据安全，所以也不下功夫培训教育员工，只寄希望于咨询第三方快速通过牌照审核。

不少安全服务公司也是不学无术，靠一两个懂行的资深员工，带一批刚入门的毕业生，修改一些文件模板，拼拼凑凑一些报表报告，就在那儿糊弄客户，再通过走关系，请吃饭等等糊弄审核机构，最后的结果就是客户交钱，买个证书，在安全管理上没有什么改变。

发牌照的机构，搞一套死板的审核流程，两三次就被客户和咨询服务公司摸透了，剩下的不是被糊弄的份了，就是只管视查、盖章和收钱了。长期这样下去，如何能让消费者信得过信息安全相关的审计监管机构啊？还不如公司请个懂行的认证的老外每年来一次呢。

您可能会说漏洞就漏洞嘛，流程上的管理上的技术上的都难避免，也没有造成严重的损失啊。貌似如此，实际上，这里的损失无法估量，在地下黑暗经济中能够造成的损失有多少？每年的网络犯罪团伙有从这些漏洞中获得了多少？一些莫名其妙的金钱丢失就和这些漏洞有关！

如果漏洞发现者没有在漏洞平台上进行曝光，而是私下享用并卖给地下黑客市场，那黑客们零星的这花那儿花，国内的老百姓有几人能从发卡行或银行里获得公正呢？国内的商家有多少能在交付了货物或服务但银行却不给钱之后得到维权呢？

我们不要把线上服务商想得太坏，有问题不好好解决，只要搞搞表面工作糊弄过去了事儿。没有公司想把自家的负面新闻闹大，影响公司商业形象和信誉，进而造成业绩下滑。所以，我们要理解线上交易平台的安全应急响应措施，人们的态度又是那么的诚恳，我们不要给人家太多的责难，而要深思问题的根源何在，并且从自身找出类似的问题并改之。

如果您是线上交易平台的大客户或合作伙伴，当然有权力提出自己所关心的安全问题，甚至可以要求相关的报告，并进行现场的安全审核，只是那些信用卡发卡行并没有好好做这些工作，哪一天线上交易平台的系统出现意外，来个批处理，瞬间让钱哗哗流走，这些关联方都会跟着倒霉，那时可真会成为国际头条新闻呢。

同时我们也不要把国人的安全渗透水平想得太差，菜鸟们也可能在不断尝试和学习中超越专业的计算机安全人员。我们需要外界的专业安全力量来进行安全评估和渗透测试，悬赏漏洞发现者是个聪明的做法。

一下子暴露出这么多问题，这些问题的背后根源何在？昆明亭长朗然科技有限公司James说：我们根本没有一个合规守法的文化！这才是问题的核心。除非线上交易平台想利用其罪恶的手段，希望通过掌握最多客户身份和信用卡信息来达到保留客户的目的，否则没有道理违法存储这么过多客户信息，给自己公司和客户同时置于风险之下。

如果说线上交易平台没有罪恶的留住客户的手段，那则是他们缺乏必要的信息安全意识、IT服务管理方法与合规守法经营理念，让全体员工参加诸如PCI-DSS基础培训是一个解决之道，不论是为客户，为公司，还是为投资者，线上交易平台和我们都应该立即行动起来。

建立合规守法的企业文化的关键在：1.让人们理解法规的精神，2.让人们遵守法规的条款。通过多层次的员工沟通可以让人们明白法规的精神，了解法规的精神内涵远比宣读法规内容本身重要的多。而多数人在了解精神之后会同意并遵守，那些少数知法但不愿守法的才是我们工作的焦点，要做的是通过必要的奖惩措施来激励员工们积极遵守和实践法规的精神。