1. Quản trị “pci dss ai” nghĩa là gì trên gateway
PCI DSS pack (pci_dss, PCI DSS 4.0) ánh xạ các yêu cầu của tiêu chuẩn tới
các control gateway trực tiếp. Như mọi
compliance pack, cài đặt nó hiện thực
hóa các chính sách Guardrail và
Firewall thực, có thể chỉnh sửa trong workspace của bạn
— nó không thêm một engine runtime mới. Ba control thực thi được làm công việc
dữ-liệu-chủ-thẻ:
Dữ liệu chủ thẻ (PAN) — guardrail block
Dữ liệu chủ thẻ (PAN) — guardrail block
pci.pan_block (PCI DSS Req 3.4, render PAN không đọc được) block các số
thẻ được Luhn-xác-thực trong prompt trước khi chúng đến được mô hình, và
ghép chúng với các công cụ định-tuyến-ngân-hàng — IBAN và mã SWIFT/BIC —
được canh giữ bởi từ ngữ cảnh nguyên văn của chúng nên một invoice hoặc
tracking ID viết hoa chỉ đơn thuần chia sẻ hình dạng cấu trúc không bị từ
chối nhầm. Phát hiện PAN cưỡi trên
thực thể PII credit_card, nên kiểm tra Luhn
được tích hợp sẵn.Không secret trong traffic — Secrets Blocker
Không secret trong traffic — Secrets Blocker
pci.secret_hygiene (PCI DSS Req 8.3, mật mã mạnh cho thông tin xác
thực) block các API key và khóa private khỏi truyền qua gateway, nên một
thông tin xác thực không thể bị rò rỉ vào một prompt hoặc response. Đây là
guardrail Secrets Blocker — cùng control bắt các secret trên mọi request.Hạn chế tool nguy hiểm — firewall deny
Hạn chế tool nguy hiểm — firewall deny
pci.dangerous_tools (PCI DSS Req 2.2, cấu hình an toàn) là một quy tắc
firewall deny các cuộc gọi tool lớp shell và exec
trên mọi quy ước đặt tên — trên cả bề mặt inbound và MCP — nên một agent
không thể chạy một lệnh phá hủy chạm tới dữ liệu chủ thẻ. Mọi thứ khác ở lại
mặc định audit của chính sách.Hai điều khoản nữa vận chuyển với framework nhưng được đánh dấu
organizational: duy trì một chính sách bảo mật thông tin (Req 12.1) và hạn
chế truy cập vật lý tới dữ liệu chủ thẻ (Req 9). Đó là các control con-người-và-
quy-trình mà một proxy không bao giờ có thể thực thi — báo cáo tiết lộ chúng như
attested hoặc như các gap, không phải như bao phủ tự động. Sự trung thực là điểm
mấu chốt.
2. Cài đặt PCI DSS pack — một ví dụ cụ thể
Cấu hình compliance dùng session console của bạn, không bao giờ một relay keysk-orca-…. Duyệt catalog và kiểm tra readiness là miễn phí cho bất kỳ
Member workspace nào; cài đặt là một hành động Admin workspace trên
một gói trả phí, được server kiểm soát cả hai chiều.
Mở PCI DSS pack
Trong console workspace, vào Compliance → Catalog và mở PCI DSS 4.0
(nó sống dưới danh mục financial). Mỗi control liệt kê mặt phẳng của nó,
yêu cầu của nó, và một liên kết sâu tới thư viện tài liệu PCI SSC chính
thức.
Cài đặt ở chế độ observe
Với tư cách Admin workspace trên một gói trả phí, nhấp Install. Pack
hiện thực hóa ngay lập tức ở chế độ observe — guardrail flag thay vì
block, firewall chạy ở shadow — nên bạn thu thập bằng chứng
“would-have-blocked” đối với traffic thực trước.
Theo dõi, rồi go-live
Để các control shadow tích lũy các match, xem xét chúng, rồi đưa pack lên
live để bật các hành động block / deny đã khai báo. Xem
Observe vs enforce.
mode: observe, và guardrail_id và firewall_policy_id
của hai chính sách đã hiện thực hóa để bạn có thể mở chúng ngay lập tức.
3. Ranh giới trung thực — CDE là của bạn
Một chương trình PCI còn nhiều hơn nhiều một bộ lọc che giấu. Gateway bao phủ các control mà một mặt phẳng dữ liệu thực sự có thể thực thi; mọi thứ khác vẫn ở với tổ chức của bạn. Đây là sự phân tách, vẽ theo cùng cách như bản đồ trách-nhiệm-chia-sẻ:| Khu vực control | Gateway thực thi | Tổ chức của bạn sở hữu |
|---|---|---|
| PAN trong traffic | Block PAN được Luhn-kiểm-tra, IBAN, SWIFT/BIC trong prompt | Xác định phạm vi trường nào là dữ liệu chủ thẻ |
| Card secret | Block API / khóa private truyền qua gateway | Giám hộ key bên ngoài đường gateway |
| Tool nguy hiểm | Deny các cuộc gọi shell / exec gần CDE | Bảo mật các tool bỏ qua gateway |
| CDE & chính sách | — (tiết lộ như attested / gap) | Phân đoạn; truy cập vật lý; chính sách InfoSec |
4. Chứng minh nó — bằng chứng có chữ ký, đóng dấu khu vực
Một khi pack ở live, hãy sinh một báo cáo PCI DSS. Các báo cáo được ký Ed25519 và đóng dấu SHA-256, xuất được dưới dạng CSV / JSON / PDF, và xác minh được công khai — một người đánh giá có thể xác nhận tính xác thực của một báo cáo mà không cần đăng nhập. Mỗi hàng truy vết một yêu cầu xuống chính sách guardrail hoặc firewall chính xác thực thi nó và các match nó tạo ra trong kỳ; hai điều khoản tổ chức render như các gap được tiết lộ hoặc attestation của chủ sở hữu. Bạn cũng khai báo một khu vực data-residency cho artifact báo cáo (us /
eu / uk / ap / cn / global) — các báo cáo có chữ ký được lưu trữ và
phục vụ chỉ dưới khu vực khai báo của bạn, và một lần đọc xuyên khu vực bị giữ
lại. Điều này đóng dấu artifact bằng chứng, không phải địa lý của inference.
Cài đặt một pack và go-live yêu cầu Admin workspace trên một gói trả
phí, được thực thi ở phía server. Sinh báo cáo là Admin (gói miễn phí: một
PDF; CSV/JSON và các báo cáo bổ sung là trả phí); đặt residency bị giới hạn
Admin. Duyệt catalog và kiểm tra readiness vẫn miễn phí. Xem
Phân tầng theo gói.
5. Đi đâu tiếp theo
Cài đặt một pack
Toàn bộ luồng cài đặt — chọn control, chế độ observe, và go-live.
Báo cáo có chữ ký
Báo cáo bằng chứng PCI DSS ký Ed25519 chứa gì.
Xác minh một báo cáo
Cách một người đánh giá xác nhận một báo cáo là xác thực mà không cần đăng
nhập.
Tham chiếu Guardrails
Mặt phẳng nội dung mà pack hiện thực hóa — các thực thể PII, Secrets Blocker,
hành động.
Cuộc gọi tool nguy hiểm
Mối đe dọa mà control firewall phòng vệ chống lại.
Data residency
Khai báo khu vực mà bằng chứng có chữ ký của bạn được lưu trữ và phục vụ.