目前我正在为客户建立一个在线商店（使用 OpenCart）。所有的支付和交易都是通过支付网关（PayPal 等）进行的，因此网站从不存储支付信息（银行详细信息、卡号等）。
但是，我的客户仍然担心客户个人信息（地址、出生日期、全名等）的安全。我向他解释过，使用 SSL，客户端和服务器之间传输的任何数据都是加密的，服务器上的个人信息不加密是正常的（我指出即使是像索尼这样大的公司也不加密） .
显然，加密 MySQL 的内容是完全可能的，但当然您仍然需要将密钥放在服务器上。如果有人进入服务器，他们也会得到密钥并简单地解密数据库内容。
那么，在更安全地存储个人信息方面，我还能做些什么吗？有没有我遗漏的“行业技术”。我认为行业标准是以纯文本形式存储个人信息的想法是否正确？
谢谢。
即使您没有严格要求，也请尝试为您的方案实现 PCI 合规性。这将使您的客户高枕无忧，并要求您遵循一些行业最佳实践。您还必须做的一件事是扫描您的服务器——这将为您的服务器安全建立一些基本的信心。
PCI 合规性并不能保证安全。它基本上是在你的门上锁上锁并确保窗户是关闭的。
PCI 合规性没有也无法检查的最重要的事情是您的 web 应用程序本身是否易受攻击。如果您的应用程序中某处（例如）存在 SQL 注入攻击向量，那么即使您加密整个数据库并将其锁定在地下保险库中，您的数据也可能被盗。因此，获得试图攻击它的应用程序的自动测试覆盖率。定期运行这些测试。
一些关于 PCI 合规性的随机谷歌搜索指南：
非常小心地注意：如果您的网络服务器在任何阶段甚至接触卡数据，您都需要符合 PCI 标准。 仅仅因为您不存储CC 数据并不意味着 PCI 合规性不适用。合规级别将不那么严格，但仍会有合规级别。
我不清楚 PCI 合规性是否适用于您的场景。基本上，如果客户直接将卡号输入贝宝的网站，而您永远不知道卡号，则您不需要符合 PCI。但是，如果他们将卡号输入您的网站，并且您的服务器通过 API 将该数据传递给 Paypal，那么即使您没有存储他们输入的数据，您也需要符合 PCI 标准！