范围
PCI DSS（Payment Card Industry Data Security Standard）定义存储、处理与传输持卡人数据的最低安全要求，包括网络分段、访问控制、漏洞管理与日志审计。物联网设备若接触 PAN，需纳入评估范围；更好做法是令牌化与托管字段，使设备永不触达明文卡号。
等级
按交易量划分商户等级，决定审计频次与方式。云服务商常提供 PCI 合规区，但商户仍对自身配置负责。
实践
禁用默认口令、TLS1.2+、最小权限与定期渗透测试。
卡数据环境与范围界定
PCI DSS 关注持卡人数据（PAN、磁道、CVV 等）的存储、处理与传输。物联网 POS 与自助终端若在本地缓存或明文打印卡号，即落入范围；仅使用令牌化或跳转支付可降低合规负担。范围界定错误会导致审计范围膨胀或遗漏风险点。云托管与容器化部署下，责任共担模型要书面厘清：补丁、日志、密钥管理与漏洞扫描各自归属哪一方。
物联网终端的持续合规
大量分布式机具需远程监控补丁状态、防拆与固件完整性；离线设备可能长期未更新，要在策略上强制版本下限或拒绝入网。第三方运维与外包人员访问需多因素认证与操作录像。发生数据泄露时，按卡组织要求履行通知与取证。模组通信若经公网，TLS 与证书钉扎是基线；禁止在日志与崩溃上报中附带敏感支付字段。
工程实践补充
关于「PCI DSS」，建议在架构上区分实时控制链路与非实时遥测链路：控制与联锁尽量本地闭环，蜂窝用于监测、配置与 OTA。云平台侧用可观测性指标（连接时长、消息时延分布、失败码、重连原因）驱动优化，而不是只看「能通」。文档交付包含接口说明、错误码表、极限工作条件与已知限制；测试交付包含用例、数据与结论，便于第三方复测或审计。
卡数据环境的技术边界
PCI DSS 的对象是持卡人数据：主账号、有效期、磁道或芯片里的敏感认证数据，以及持卡人姓名等可与账号关联的信息。技术边界不是「这台机器是不是 POS」，而是这些数据在哪一段内存、哪一张卡、哪一条日志和哪一个备份里出现过。蜂窝模组若只搬运已经令牌化的报文，本身可以留在范围外；一旦调试串口把完整报文打出来，或者崩溃转储里含有未脱敏的 ISO 8583 域，模组和它的日志服务器就进了卡数据环境。云上的合规区不能自动覆盖客户自己打开的端口和自己保管的密钥。
使用条件是先画数据流，再决定控制。能不存储主账号就不存储；必须经过的链路用足够强度的传输加密，管理口令不用出厂默认值，能登录设备的人要能对上操作记录。交易量决定的是评估方式有多严，不是要求可以减半。外包运维、远程桌面和模组诊断口都要算进「谁能碰到数据」。
日志、崩溃转储与范围膨胀
最常见的失误是范围划得太小：认为「我们用了支付网关，所以终端不在范围内」，但终端仍短暂保存磁道或把卡号打在签购单存根的照片里。其次是范围划得太大却没有控制，所有服务器都装在同一网段，审计时每一台都要举证。第三是补丁和证书只在实验室更新，现场机具长期停在有已知漏洞的版本，策略上又没有「低于某版本拒绝入网」。
蜂窝侧的失败重传会把同一份敏感报文多次写入闪存磨损区，擦除不彻底时取证仍能读到。日志上传必须先脱敏再出机。受理设备的安全键盘和固件签名要求，见 POS 终端；近场读卡把数据交到主机之前的路径，见 NFC 支付。两处只要有一处明文落地，范围评估就要跟着改，不能只改支付网关的说明文档。
范围评估还要跟着日志和备份走一遍。诊断口把完整报文留在未加密的串口缓存里，等于在模组侧又建了一个数据停留点，即使交易主路径已经令牌化。崩溃转储、核心转储和厂商的远程抓包指令都要列入清单，默认关闭，打开时要有时限和审批。远程协助人员的账号不能带出「查看完整卡号」的权限，截图和录像按支付数据的保留期限删除，而不是随工单永久保存。证书到期前若没有自动拒绝旧版本接入，现场机具会一直用过期套件把数据送出去。评估报告里应画出终端、模组、日志服务器和支付网关四段，任何一段说「不存储」都要能指出数据在离开前被截断的位置。截断规则要写进版本说明，换支付报文格式时重新核对，避免新字段又把卡号带进诊断包。