只要存储、处理或传输持卡人数据，就落在 PCI DSS 范围内——现行 v4.0.1，12 项要求，按年交易量分四级。
PCI DSS 由支付卡行业安全标准委员会（PCI SSC）制定，通过收单机构与卡组织的合同强制执行，不合规可能面临罚款直至丧失收单资格。它的合规复杂度几乎完全由持卡人数据在系统中的暴露范围决定：系统碰到的卡数据越少，需要证明的控制就越少。所以 DataAigis 的做法是先梳理数据流、压缩范围，再补齐控制，最后完成自评问卷或配合 QSA 审计——顺序反过来，成本会成倍上升。
画清持卡人数据从进入到留存的完整路径，识别哪些系统真正接触卡号。通过令牌化、收单页重定向等方式让自有系统不接触真实卡号，审计范围可以大幅缩减。
网络安全控制、默认配置加固、存储数据保护、传输加密、防恶意软件、安全开发与漏洞管理、按需限制访问、身份识别与认证、物理访问控制、日志监控、定期安全测试、信息安全政策——逐条对照现状给出整改项。
按年交易量确定所属级别，判断适用自评问卷（SAQ）还是需要 QSA 现场审计，并选中匹配业务形态的 SAQ 类型——选错类型会答非所问，白做一轮。
漏洞扫描、渗透测试、日志留存、密钥轮换都有明确周期。建立年度日历与变更评审机制，避免到期前集中补作业。
从收银、支付、退款、对账各条链路入手，画出持卡人数据的实际流向，确认哪些系统、网络与人员落在范围内。
对照 12 项要求逐条评估现状，同时给出可行的去范围方案——能不碰卡号的环节就不碰，这是最有效的降本手段。
补齐技术控制与管理制度，同步建立证据留存机制，确保验证时每一条要求都有对应材料。
完成自评问卷或配合 QSA 审计，出具合规证明；随后按年度日历维持扫描、测试与复审。
PCI DSS 的成本曲线很陡：范围里多一个系统，需要证明的控制、要做的扫描与要留的证据都会跟着涨。把预算花在范围压缩上，通常比花在补控制上更划算。
