我的组织现在正在使用标记化，我们不再存储任何信用卡信息。

我现在认为我可能不再需要以下一些控件：-（可能还有其他控件，尽管这些是主要控件）
11.1 - 每季度测试无线接入点的存在并检测未经授权的无线接入点。
** 不再需要，因为我的环境中不允许使用 Wifi，并且令牌化服务器位于 DC 中** 11.2 - 至少每季度运行一次内部和外部网络漏洞扫描......
** 考虑减少我的外部 PCI- DSS 扫描成本和继续使用外部漏洞评估工具** 11.3 每年至少执行一次外部和内部渗透测试.....
如果需要，我会从渗透测试中去除 PCI-DSS 系统的范围。（无论如何我都不会做的事情）

你觉得呢？你有没有什么想法？一旦你使用标记化，你能极大地了解吗？
- 无线将不会连接持卡人数据环境。- 我仍然需要对令牌化系统进行控制，包括我上面提到的那些。- 如果令牌化系统在我的 DMZ 中，其他服务器都具有可路由的 IP 地址，这是否意味着所有这些系统都将属于 CDE 并且仍需要作为 11.2 和 11.3 的一部分进行扫描？

与外部公司合作的 QSA 告诉我们，一切仍在 PCI-DSS 的范围内。他最近将我们的电子邮件服务器添加到 CDE 范围内，因为员工在订购鲜花或航班时会通过电子邮件发送他们的个人或公司信用卡号。想法？电子邮件服务器问题是我将通过策略解决的问题。

我的 QSA 朋友说是的 descope，你可能不再需要一些控制。究竟是什么，我现在不确定。

PCI 表示“令牌化解决方案不会消除维护和验证 PCI DSS 合规性的需要，但它们可以通过减少适用 PCI DSS 要求的系统组件的数量来简化商家的验证工作”

“必须通过强大的安全控制和监控来保护令牌化系统和流程，以确保这些控制的持续有效性”

https://www.pcisecuritystandards.org/documents/Tokenization_Guidelines_Info_Supplement.pdf

谢谢。