包括 PA-DSS 在内的新信用卡标准可能会让软件公司感到困惑。
我的问题是：如果您的软件公司设计了一个 POS 软件系统（就像我们一样），它利用本地安装的第 3 方信用卡处理器（符合 PA-DSS）来加密、传输和处理信用卡，我们的 POS系统必须通过PA-DSS认证吗？
最终用户在我们的应用程序中将数据输入到我们定制设计的 UI / 支付屏幕中。我们不会在任何时间点将此信息存储在任何类型的数据库、文本文件等中。信息取自用户界面并加载到 RAM 中的变量中，然后通过其本地安装的 API 传递给第三方软件系统。然后，第 3 方处理器加密、提交和处理信用卡信息，它们符合 PA-DSS。
那么，我们是否需要这样做，因为我们不存储、传输或处理信用卡数据。我们仅将信用卡信息从 RAM 传输到 API 调用。
以下附加信息添加到问题 - 2011
有人告诉我，软件系统不可能与 pci dss 兼容。有人告诉我，PCI DSS 合规性包括整个商户环境，包括网络基础设施、病毒扫描、持有持卡人数据的服务器的互联网访问限制等等。据我了解，软件系统作为其自身认证的一部分或在遵守标准时只能是符合 padss的。至少，无论如何，这是我目前的个人理解。
对软件开发人员和软件公司的 padss 要求的问题在于“传输”一词没有适当的定义。
标准说：
“PCI DSS 适用于存储、处理或传输帐户数据的任何地方”
好吧，基于此，我们根本不会存储任何持卡人信息，我们不会处理任何持卡人信息，也不会通过网络或互联网传输任何信息。
问题是“传输”可以从字面上理解为任何东西，它需要适当地定义。可以将数据从一个字节移动到另一个字节，将其从一个应用程序域移动到另一个应用程序域，通过本地网络移动数据或通过互联网本身移动。
在阅读这些标准时，我的印象是为 padss 合规性编写这些标准的人对软件非常陌生，他们的实际意图是让术语“传输”意味着通过网络或互联网移动数据，我们当然没有这样做。
我不相信他们的意思是“传输”意味着不要将数据从一个内存地址位置移动到另一个位置或不将数据传递到符合 pa-dss 的 dll 库。
我希望因为我们没有通过网络或互联网存储、处理或传输数据，所以我们不会期望通过 20,000 美元的认证，以便我们可以调用 PA DSS 安全 dll 库来处理我们的卡。