Approved Scanning Vendor (ASV)
Società approvata dal PCI Council per eseguire le scansioni esterne delle vulnerabilità che il PCI DSS richiede ogni trimestre.
Ogni esercente o fornitore di servizi con sistemi esposti a internet nell'ambiente dei dati dei titolari di carta deve farli scansionare dall'esterno da un ASV almeno una volta per trimestre. La scansione è automatica e cerca vulnerabilità note, configurazioni errate e versioni obsolete. Il criterio di superamento è brusco: basta un singolo risultato con punteggio CVSS pari o superiore a 4,0 per essere bocciati, e la scansione va ripetuta finché non risulta pulita. Quattro rapporti positivi all'anno vengono consegnati all'acquirer.
Una scansione ASV non è un penetration test, per quanto le presentazioni commerciali tendano a confonderli. Trova ciò che un database di firme può trovare e non dice nulla sui difetti di logica nel flusso di pagamento. In pratica gran parte del lavoro consiste nel contestare i falsi positivi, come lo scanner che rileva una vecchia versione nel banner di un server aggiornato da mesi.