每一家接受银行卡支付的企业都必须每年完成一次 PCI DSS 自我评估问卷。题目由 PCI Security Standards Council 设定，必须严格按原文作答。Paytia 认为，尚未被解决的是应当在什么地方完成这些题目：坐在办公桌前、使用笔记本电脑，而被检查的对象却在另一个房间。

“题目就是题目——改写之后，你并没有真正填完问卷。我们把问卷放到手机上，让相机负责归档，并把照片保留在它们该待的设备里。”——Paytia 首席执行官 Curtis Nash

Paytia Comply 将问卷带到你口袋里的手机上。它覆盖全部九种 SAQ 类型和 966 项 PCI DSS v4.0.1 要求，逐项完成，让用户在证据实际所在的地方作答。

用户可以选择与其支付方式相匹配的问卷——A、A-EP、B、B-IP、C、C-VT、D（Merchant）或 D（Service Provider），也可以点击“Help me choose”并回答几个关于其环境的问题。每份 SAQ 都会说明其覆盖范围以及包含多少项要求，从 SAQ B 的 28 项到 A-EP 的 145 项不等。随后，用户可逐题完成，标记为 Yes、No 或 N/A，并在过程中跟踪进度。

问题仍然是那个问题

打开任何一项要求时，官方 PCI SSC 原文会显示在标题“ The question ”下方。Paytia 表示，这些措辞既没有改写，也没有删减。公司称，经过改写的 SAQ 就不再是 SAQ。

Comply 增加的是围绕题目的内容：该要求实际意味着什么，以及满足要求可能需要哪些证据，包括要查看哪些文档、要采访哪些人员、要检查哪些配置设置。标准的措辞保持不变，解释则紧邻其旁，为用户提供上下文，同时不改变他们被要求作答的原始文本。

相机负责归档

许多要求需要的是证明，而不只是勾选一个方框，例如服务器机房锁、终端设置或访客记录等证据。Paytia 表示，收集这些证据往往十分繁琐：拍照、发邮件给自己、在笔记本电脑上下载、重命名文件，然后再弄清楚它属于哪一项要求。

Comply 的设计就是为了消除这些额外工作。用户站在被检查的对象前，只需点击“Take photo”，图片就会附加到相关要求上。照片保留在设备中。问卷完成后，所有材料会整理成 PDF，用户可导出或通过电子邮件发送给收单机构或 QSA。实际上，这意味着该应用针对的是证据采集的环节，而不是之后审查证据的环节。

供浏览器使用的口袋参考工具

并非所有 PCI 问题都会在服务器机房里出现。很多问题发生在办公桌前，通常是关于“哪份 SAQ 适用于我们？”或者收单机构邮件里的缩写。针对这些情况，Paytia 还提供了免费的 Chrome 扩展程序 PCI SAQ Pocket Reference：chromewebstore.google.com/detail/pci-saq-pocket-reference/amkphflaeaegcigdnjdffclpmamjifcf。

该扩展位于浏览器工具栏中，提供三项功能：八道问题的决策指南，帮助用户找到正确的 SAQ；15 个 PCI 术语的通俗英语词汇表——包括 PAN、CDE、AOC、P2PE 等；以及指向 Paytia 免费检查清单的链接，适用于 SAQ A、A-EP、B 和 D。Paytia 表示，它可离线运行，不需要任何权限，不含跟踪功能，源代码依据 MIT 许可开放。

该扩展用于回答在办公桌前出现的问题；而应用则用于真正完成问卷本身——站在证据前完成填写。Paytia 还提供免费的即时检查工具 paytia.com/resources/tools/which-saq，用户在浏览器中回答八道问题，且不会收集任何信息。

Paytia 为何开发它

Paytia 表示，自 2016 年以来，公司一直是 PCI DSS Level 1 认证服务提供商，帮助呼叫中心和非面对面商户保持合规。公司称，它不断看到同样的情况：企业知道年度 SAQ 到期，下载官方 PDF，在笔记本电脑上打开，然后就停了下来——因为该文档是写给最终会审阅它的评估人员的，而且所需证据中有一半在建筑物的别处。

在 Paytia 看来，问题不在于题目本身，而在于题目被回答的地点。这个区别很重要，因为 PCI 自我评估仍然是一项正式流程，而实际阻力往往来自于在审查开始之前整理证据并选择正确的问卷。

它不做什么

Paytia 将 Comply 描述为一款清单和证据采集工具。它不是法律或合规建议，最终决定权在收单机构。它不会为任何企业认证 PCI 合规；这需要由 QSA 出具证明，或者对于符合 SAQ 条件的商户，由企业签署自我证明。它也不会进行外部扫描或渗透测试，并且不会实施标准要求的技术控制措施。

Paytia 表示，它所做的是把问卷从笔记本电脑上移走，放到证据所在之处。

“SAQ 不是可以随意简化的东西。题目就是题目——改写它们，你就还没真正填完。没人问过的是，当你作答时应该站在哪里。那从来不是在办公桌前，而是在卡终端、柜子或访客记录所在的房间里。所以我们把问卷放到手机上，让相机负责归档，并把照片保留在它们该待的设备里。”——Paytia 首席执行官 Curtis Nash

Paytia 还指向其免费的 Chrome 扩展和即时检查工具，并指出，公司更广泛的 PCI 工具旨在帮助用户确定正确的 SAQ，并整理供审查的证据。