PCI DSS要求、数据本地化、境外服务器怎么选？

前言

跨境支付是所有互联网行业中监管最严格的领域之一。

一般建站选服务器，只需要考虑速度、价格、稳定性。但对于处理持卡人数据、跨境汇款、数字钱包的支付类业务，还必须考虑：

• PCI DSS合规：信用卡行业的数据安全标准，不合规可能被Visa/Mastercard取消支付资格
• 数据本地化法规：印尼、越南等国要求特定数据必须存储在境内
• 金融监管要求：各国对支付机构的技术基础设施有明确规定
• 网络安全等级保护：跨境支付平台通常需要满足特定的安全标准

本文专门为跨境支付公司（聚合支付、跨境收单、数字钱包、外汇平台）提供服务器合规选择指南。

一、PCI DSS对服务器的核心要求

PCI DSS（Payment Card Industry Data Security Standard，支付卡行业数据安全标准）是Visa、Mastercard、American Express等卡组织共同制定的安全标准，任何处理信用卡数据的机构都必须遵守。

PCI DSS 12项核心要求中与服务器直接相关的部分

要求1：安装和维护防火墙配置

必须部署防火墙，明确定义允许和拒绝的流量规则，并且每6个月审查一次防火墙规则。

实际操作：

# 严格的防火墙配置示例（iptables）
# 默认拒绝所有入站流量
iptables -P INPUT DROP
iptables -P FORWARD DROP

# 只允许必要的端口
iptables -A INPUT -p tcp --dport 443 -j ACCEPT   # HTTPS
iptables -A INPUT -p tcp --dport 22 -j ACCEPT    # SSH（生产环境应限制IP）
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -lo -j ACCEPT

# 记录所有被拒绝的连接（用于审计）
iptables -A INPUT -j LOG --log-prefix "DROPPED: "

要求2：不使用供应商提供的默认密码

所有服务器账号必须修改默认密码，禁用不必要的默认账号。

要求3：保护存储的持卡人数据

如果服务器存储持卡人数据（卡号、有效期、CVV等），必须加密存储。

重要提示： 最安全的做法是完全不存储持卡人数据，而是使用Stripe、Braintree等已完成PCI DSS认证的支付网关托管持卡人数据，自己只保存Token。这样可以将PCI DSS合规要求从最高级别（Level 1）降低到最低级别（SAQ A）。

要求6：开发和维护安全的系统和应用

• 所有软件保持更新，及时修补安全漏洞
• Web应用必须部署WAF（Web应用防火墙）

要求7：限制业务需要对持卡人数据的访问

最小权限原则：每个员工只能访问其工作所需的最少数据。

要求10：跟踪和监控所有对网络资源和持卡人数据的访问

必须保留完整的访问日志，且日志必须保存至少12个月。

# 配置系统审计日志（auditd）
apt install auditd -y

# 监控关键文件的访问
auditctl -w /etc/passwd -p wa -k identity
auditctl -w /etc/shadow -p wa -k identity
auditctl -w /var/log/ -p wa -k logs

# 日志必须发送到独立的日志服务器（防止被篡改）

要求11：定期测试安全系统和流程

• 每季度进行内部漏洞扫描
• 每年进行外部渗透测试（Level 1和2的商户）

二、各国数据本地化法规对服务器选址的影响

数据本地化是跨境支付业务中越来越重要的合规考量。多个东南亚国家已经或正在出台要求特定数据必须在境内存储的法规。

主要市场数据本地化要求

印度尼西亚

印尼《政府条例71/2019》要求：

• 战略性数据（政府数据、国防安全数据）必须在印尼境内存储
• 金融服务数据（包括支付数据）必须在印尼境内存储主要副本
• 可以在境外留一份副本，但主数据必须在境内

影响： 面向印尼用户的支付业务，必须在印尼境内（或至少确保主要数据不离开印尼）部署数据库。可以考虑新加坡服务器作为业务处理节点，但需要将数据同步到印尼本地存储。

越南

越南《网络安全法》要求：

• 在越南提供服务的外国企业必须在越南境内存储越南用户数据
• 包括：用户个人数据、用户生成的数据、账户相关数据

影响： 面向越南用户的支付平台，需要在越南境内建立数据存储节点。目前越南主要数据中心运营商：VNG、FPT Telecom、VNPT。

泰国

泰国《个人数据保护法（PDPA）》类似欧盟GDPR，对跨境数据传输有限制，但目前尚未强制要求数据本地化存储。

新加坡

新加坡《个人数据保护法（PDPA）》要求数据控制者对数据出境负责，但未强制要求本地存储。新加坡反而是东南亚地区对数据中心最友好的国家。

中国大陆

《数据安全法》和《个人信息保护法》规定：

• 重要数据和个人信息处理者在境内运营过程中收集的数据，原则上应在境内存储
• 向境外提供数据需通过安全评估或标准合同

影响： 面向中国大陆用户的支付业务，核心数据应存储在国内服务器上。

三、支付类业务的服务器架构建议

架构原则

原则一：业务服务与数据存储分离

支付处理逻辑可以运行在香港或新加坡服务器（速度快、访问国际支付接口畅通），但敏感数据的存储必须考虑合规要求。

原则二：不存储持卡人原始数据

使用Stripe、Adyen等已获得PCI DSS认证的支付网关处理卡数据，自己只存储Token。这是最简单的合规路径。

原则三：加密传输+加密存储

所有涉及支付数据的传输必须使用TLS 1.2以上加密，存储的敏感数据必须加密（AES-256）。

面向东南亚的支付业务推荐架构

用户请求
    ↓
Cloudflare WAF（第一层安全防护）
    ↓
新加坡业务服务器（API处理、业务逻辑）
    ├── 连接Stripe/Adyen等认证支付网关（不存储卡数据）
    ├── 连接Redis缓存（会话、限流）
    └── 连接主数据库
            ├── 新加坡主库（业务数据）
            └── 印尼/越南本地副本（满足数据本地化）

新加坡作为主要业务节点的原因：

• 新加坡MAS（金融监管局）是东南亚认可度最高的金融监管机构
• 新加坡IP在各支付网关的KYC审核中通过率最高
• 到东南亚各国延迟低（15～50ms），业务响应速度好
• 不强制要求数据本地化，架构灵活度高

面向欧美的支付业务推荐架构

用户请求
    ↓
Cloudflare WAF + DDoS防护
    ↓
美国业务服务器（Stripe连接延迟最低）
    ├── Stripe支付处理（PCI DSS认证方处理卡数据）
    ├── 美国主数据库（GDPR数据处理协议）
    └── 欧盟副本（如有欧盟用户，满足GDPR数据留存要求）

四、服务器安全加固：支付业务必做项

必做加固清单

① 强制双因素认证（2FA）

所有能访问服务器的账号（SSH、管理后台）必须启用2FA：

# 安装Google Authenticator
apt install libpam-google-authenticator -y
google-authenticator

# 配置SSH使用2FA
vi /etc/pam.d/sshd
# 添加：auth required pam_google_authenticator.so

vi /etc/ssh/sshd_config
# 修改：ChallengeResponseAuthentication yes

② 限制SSH访问来源IP

只允许公司办公IP和VPN IP访问服务器SSH：

# 在/etc/ssh/sshd_config中添加
AllowUsers admin@公司固定IP admin@VPN出口IP

③ 部署WAF

安装ModSecurity或使用Cloudflare WAF，拦截SQL注入、XSS等常见Web攻击：

# 安装ModSecurity（Nginx版）
apt install libnginx-mod-security2 -y

④ 定期漏洞扫描

# 安装OpenVAS（开源漏洞扫描器）
apt install openvas -y
openvas-setup

⑤ 日志集中管理

所有服务器日志集中发送到独立的日志服务器（防止攻击者删除本地日志掩盖踪迹）：

# 使用rsyslog发送日志到中央日志服务器
vi /etc/rsyslog.conf
# 添加：*.* @日志服务器IP:514

五、常见合规误区

误区一：有了SSL证书就满足PCI DSS

SSL只是PCI DSS 12项要求中的一小部分，满足PCI DSS需要全面的安全体系，单靠SSL远远不够。

误区二：香港服务器可以规避所有数据法规

香港虽然有相对完善的隐私法律（PDPO），但并不能帮你规避其他国家的数据本地化要求。如果你的业务面向印尼或越南用户，仍需遵守当地的数据存储法规。

误区三：使用Stripe就不需要考虑PCI DSS

使用Stripe等托管支付网关，可以大幅降低PCI DSS合规范围（从SAQ D降到SAQ A），但仍然需要完成SAQ A自评问卷，确保自己的系统满足基础安全要求。

六、总结：支付业务服务器合规选型指南

合规不是一次性的工作，而是持续的过程。建议在正式上线之前，聘请专业的PCI DSS合规顾问进行评估，并在运营过程中定期审查合规状态。

如需了解网宝新加坡服务器和香港服务器的具体配置，欢迎联系技术顾问获取支付业务专属方案。