我不是审计员，只有审计员才能给你有效的答案。也就是说，PCI 数据安全标准在这些问题上相当直接：

持卡人数据环境由存储、处理或传输持卡人数据或敏感身份验证数据的人员、流程和技术组成。

因此，无需存储卡数据即可将您置于范围内；传输就足够了。您的终端将传输持卡人数据，因此在 PCI 要求的“范围内”。

将持卡人数据环境与实体网络的其余部分进行网络分段或隔离（分段）不是 PCI DSS 要求。但是，强烈建议将其作为一种可以减少：

• PCI DSS 评估的范围
• PCI DSS 评估的成本
• 实施和维护 PCI DSS 控制的成本和难度
• 对组织的风险（通过将持卡人数据整合到更少、更可控的位置来降低风险）

换句话说，任何连接到网络并带有处理终端的系统都在“范围内”，并且也必须进行扫描和审计。如果您不想证明它每年都取决于 PCI 安全鼻烟，您只需要对其进行分段！（话虽这么说，对您来说，对它进行分段可能比让您的网络上的所有内容都符合 PCI 要求更便宜、更容易）。

PCI DSS 自我评估问卷概述了不同类型的企业及其广泛的要求。根据您的描述，您是第 11 页上概述的 SAQ“C”。我在下面引用了其中的一部分并突出显示了项目符号，即是的，他们希望您分割您的网络：

SAQ C 商家通过完成 SAQ C 和相关的合规证明来验证合规性，确认：

• 贵公司在同一设备和/或同一局域网 (LAN) 上拥有支付应用系统和 Internet 连接；
• 支付应用系统/互联网设备未连接到您环境中的任何其他系统（这可以通过网络分段将支付应用系统/互联网设备与所有其他系统隔离来实现）；
• 您的公司店铺没有连接到其他店铺位置，任何局域网只针对单个店铺；
• 贵公司仅保留纸质报告或纸质收据副本；
• 贵公司不以电子格式存储持卡人数据；和
• 贵公司的支付应用软件供应商使用安全技术为您的支付应用系统提供远程支持。

好消息是：

1. 在小批量商家级别，您几乎只需要填写一份表格并在其上签名，说明您是合规的，因此您无需处理昂贵的审核。
2. 有许多看起来很愚蠢的 PCI 规则。这不是其中的一个。网络分段或缺乏网络分段已一再被证明是卡数据泄露的重要因素。
3. 如果商店那么小，那么修理起来并不昂贵。购买带有集成 4 端口交换机的 SOHO 防火墙，确保它已关闭无线，将您的两个终端连接到它，然后将 WAN 接口连接到您的 LAN。不到 100 美元就完成了。

我担心你的 MOTO 交易。当您说它们是在终端上完成时，您是指供应商（Verifone VX670-B 和 MagIC3 X-8）终端，对吗？如果是这样，那很好。

您的系统是否允许将卡交易信息映射到您可能保留的任何消费者数据上，例如信用卡授权交易号映射到您保存在数据库中的客户姓名和电子邮件？如果是这样，您就有了 PCI 人员想要检查的风险。我的一位客户过去拥有适当的安全系统，但他们的 mailchimp（异地群发电子邮件）帐户遭到黑客攻击，所有客户都收到一封电子邮件，称他们的卡信息已被泄露，而实际上所有数据仍然安全可靠。但无论如何，PCI 解决了这个问题，因为除此之外，PCI 的存在是为了保护集体支付卡行业 (PCI) 的声誉。

我会将 Splunk 放在您的计算机上，以整合您的 Win 错误、系统、SQL 事务、防火墙和 AV 日志，然后定期查看该集成日志资源（您在 PCI 调查问卷中证明您这样做了）。查看日志，尤其是 TSQL 和 Win 系统日志（安装新的 sfwr 等）对于揭示漏洞和证明不存在可利用的漏洞特别有价值。如果您不合并和检查这些日志，则您没有合理的依据来断言。

最好现在就去做，而不是让法务审计师向你“建议”。

你和审计员谈过了吗？除了回答调查外，您可能不需要做任何事情。一旦您证明您不接受除刷卡以外的任何东西并且您没有在任何地方存储卡号，那么您的审核就完成了。

当企业将信用卡存储在某个地方时，所有其他东西都是必需的。