我使用预订管理系统。在酒店业，有信用卡作为担保的概念。在进行任何类型的预订时，都会要求您提供信用卡信息以确保预订，但根据预订条件，您可能只需要在未出现或其他可能仅在预订过程之后发生。
例如，我可能会在一月份预订 10 月份的野生动物园之旅。
所以基本上只要预订有效，您就必须保留信用卡数据。
例如，一旦发生预订日并且没有出现。酒店人员（我的客户）可以查询用户的信用卡数据并进行收费。
因此，如果我以符合 PCI 的方式存储信用卡数据，我是否可以将信用卡数据从用户显示给必须使用它向用户收费的授权酒店人员（客户）？
我再次澄清，我的客户是酒店人员、旅行社、旅行社。系统的用户是通过它预订并提供信用卡号码的人。
最终，我认为您将不得不与您的 PCI 审计员一起解决这个问题，而我不是。我认为您将很难弄清楚如何做到这一点，这是一种 a) 不会对您和卡数据的最终用户造成过多负担的方法，并且 b) 给您留下仍然是 PCI 的系统合规，并且您的审核员将给予批准印章，但我也不认为 PCI DSS v3 使其成为不可能。
这是最重要的问题：
一旦卡数据进入 PCI 兼容系统，就无法通过非兼容方式提取和传送。这意味着您无法将卡片数据取出，然后通过电子邮件将其发送给酒店，或者通过电话发送给某人。必须始终对其进行加密、访问记录和未受保护的 PAN，仅向具有合法业务需求的人显示。
现在，鉴于酒店人员确实有合法的业务需求（他们需要能够从卡上收费），如果访问受到适当限制并记录了审计，那么您也许可以成功地证明这一点。然而，它仍然提高了风险水平，任何给定的审计师都可能拒绝接受这种推理。
如果您可以将数据直接发送到酒店或旅游经营者拥有符合 PCI 标准的处理系统并让他们从那里担心，而不必通过人工中介工作，您的情况会好得多。
您永远不应向任何人（包括授权用户）展示完整可读的信用卡。这是一种糟糕的安全做法。如果这样做，那么您将需要实施更强大的访问和监控控制，以确保授权用户的凭据不被泄露，并且黑客不会窃取 CC 数据。最好只显示 CC 的最后 4 位数字。
信用卡数据不是同质的。有些信息您可以显示，而有些信息您甚至不允许存储。例如，您不能存储 CVV2 代码。还有其他信用卡数据是持卡人姓名、交易历史等。因此您必须逐个字段地查看它。
一般来说，最佳实践是最小化 - 永远不要让更多的数据可访问，而不是特定人员完成工作所需的数据。例如，呼叫中心的客户服务代表根本不应该看到 CC 号码。
只要用户通过 MFA（多因素身份验证），您就可以显示完整的信用卡数据。用于验证 MFA 的电话号码也应附加到该用户。应该没有链接可用于重新显示卡数据。页面也不应该兑现。