PCI DSS 真的强制要求 DMARC 吗？
PCI DSS DMARC Requirement: What Section 5.4.1 Requires
面对即将到来的 PCI DSS 审计，许多 IT 管理员都困惑于 DMARC 是否是强制项。事实是，PCI DSS v4.0.1 第 5.4.1 条款自 2025 年 3 月 31 日起强制要求部署自动化反钓鱼机制，但标准原文从未点名强制使用 DMARC。DMARC、SPF 和 DKIM 仅作为示例出现在指导列中。虽然审计师通常期望看到这些控制措施，但标准允许通过定制化方案满足安全目标。本文澄清了标准原文与厂商宣传之间的差异，帮助合规负责人区分真正的强制要求与行业惯例，避免被误导而过度实施或错误配置。
PCI DSS v4.0.1 并没有强制要求 DMARC，但第 5.4.1 条款强制要求部署自动化反钓鱼机制，而 DMARC 正是审计师期望你指出的控制措施。
- john_strinlai
读这篇文章花的时间，比实施 DMARC 还要长。
- yonatan8070
我花了太长时间才意识到，这跟 Peripheral Component Interconnect 或 Direct Memory Access 毫无关系。
- CodesInChaos
> 最佳实践是制定政策，完全禁止通过电子邮件、即时通讯、短信和聊天传输 PAN。
听起来很荒谬。PAN 压根就不该出现在员工的电脑上。