范围
范围、差距与必需的测试
PCI DSS 保护的是持卡人数据环境（CDE）。准确界定范围是最关键的一步：范围过窄会导致不合规，范围过宽则会增加成本。我们梳理 CDE 与相连系统，评估与 v4.0.1 的差距，并执行标准在 Requirement 11.4 中要求的渗透测试。
通常范围
- 持卡人数据环境（CDE）范围界定与数据流梳理
- 对照 PCI DSS v4.0.1 各项要求的差距评估
- 依据 Requirement 11.4 的外部与内部渗透测试
- 主动验证 CDE 隔离性的隔离测试
- 对可被利用发现的整改，再复测（支撑 Req 11.4.4）
- 整理证据包，交付给您的 QSA 或用于您的 SAQ
我们如何工作
准备与测试，独立于 QSA
我们如实说明工作边界：我们提供 PCI DSS 准备、差距评估，以及 Requirement 11.4 的渗透与隔离测试。我们不是合格安全评估师（QSA），不验证合规性、不出具合规报告，也不签署合规声明，这些是 QSA 的职责。我们可以提供一份测试确认函，但它明确不构成 QSA 鉴证。
- 1
范围界定
我们梳理 CDE、数据流与相连系统，商定行动规则并签署 NDA。
- 2
差距评估
我们对照 PCI DSS v4.0.1 衡量控制措施，并排定在评估前必须弥合的事项。
- 3
渗透测试
我们依据 Requirement 11.4 开展外部与内部测试，通过实际利用来确认薄弱点。
- 4
隔离验证
我们主动尝试从 CDE 之外进入该环境，对隔离进行实际测试，而不只是扫描。
- 5
整改与复测
您完成整改；我们复测已修复的发现（支撑 Req 11.4.4），并为您的 QSA 整理证据包。
方法论与标准
立足于 PCI DSS v4.0.1 与 PCI SSC 测试指南
PCI DSS v4.0.1Requirement 11.4NIST SP 800-115PTESCVSS 3.1CDE 范围界定
准备工作对照 PCI DSS v4.0.1（现行标准）。渗透与隔离测试对应 Requirement 11.4，遵循 PCI SSC 渗透测试指南，并依据 PTES 与 NIST SP 800-115。隔离测试会主动验证隔离效果，而不只是扫描。我们提供准备与测试，但我们不是 QSA，不验证合规性、不出具合规报告，任何确认函都明确不构成 QSA 鉴证。PCI 版本与验证规则会变化，因此我们会在界定范围时重新确认。