pci-dss-session-timeout-thresholds

PCI-DSS 会话超时阈值指南与说明 根据 PCI DSS（支付卡行业数据安全标准）要求，为确保持卡人数据的安全，系统会话必须设置合理的超时阈值，以防止未经授权的访问。以下是相关指导原则和具体说明： 1. **会话超时要求** 所有涉及持卡人数据环境（CDE）的交互式用户会话，在用户不活动状态下，必须在以下时间范围内自动终止或锁定会话： - **非生产环境**：建议不超过 30 分钟的不活动时间后强制超时。 - **生产环境**：必须在不活动时间达到 **15 分钟** 内强制终止或锁定会话。 2. **超时机制实施** - 系统应在用户最后一次操作后开始计时。 - 超时后应清除会话令牌、Cookie 或其他身份验证凭证。 - 用户需重新进行身份验证才能继续访问系统。 3. **远程访问会话的特殊要求** 对于通过远程网络（如互联网）访问 CDE 的会话，必须在 15 分钟的不活动后自动断开连接，并强制重新认证。 4. **屏幕保护程序与锁定机制** 若使用屏幕保护程序作为会话保护手段，必须配置为在 15 分钟内启动，并要求密码解锁。 5. **审计与监控** 所有会话超时事件应被记录并纳入安全日志，以便审计和异常行为检测。 6. **例外情况处理** 任何偏离上述阈值的配置必须有书面风险评估和管理层批准，并定期审查其必要性。 7. **定期审查与更新** 组织应至少每年审查一次会话超时策略，确保其符合当前安全威胁环境和 PCI DSS 最新版本要求。 遵循上述指南有助于满足 PCI DSS 第 8.1.8 条关于会话超时的合规性要求，降低未授权访问和数据泄露风险。

存档时间线

版本索引永久保留；内容副本只保留最新 1 份，更早版本仅留索引与哈希（存档时间线的证据链不会因此断裂）。

下载存档内容副本