認定スキャンベンダー (ASV)

カード会員データ環境にインターネット向けのシステムを持つ加盟店やサービスプロバイダーは、少なくとも四半期に一度、ASVによる外部からのスキャンを受けなければならない。スキャンは自動で行われ、既知の脆弱性、設定ミス、古いバージョンなどを探す。合否の基準は単純で、CVSSで4.0以上と評価された指摘が一つでもあれば不合格となり、クリーンな結果が出るまで再スキャンが続く。年四回の合格レポートはアクワイアラーに提出する。

ASVスキャンはペネトレーションテストではない。営業資料では両者が混同されがちだが、シグネチャデータベースで見つかる範囲しか検出できず、決済フローの論理的な欠陥については何も語らない。実務で手間がかかるのは、誤検知への異議申し立てだ。数か月前にパッチ済みのサーバーでも、バナーに古いバージョン文字列が残っていると指摘されたりする。