Approved Scanning Vendor (ASV)
Een door de PCI Council goedgekeurd bedrijf dat de externe kwetsbaarheidsscans uitvoert die PCI DSS elk kwartaal eist.
Elke handelaar of dienstverlener met systemen in de cardholder data environment die vanaf internet bereikbaar zijn, moet die minstens één keer per kwartaal van buitenaf laten scannen door een ASV. De scan is geautomatiseerd en zoekt naar bekende kwetsbaarheden, verkeerde configuraties en verouderde versies. De slaagnorm is botweg: één bevinding met een CVSS-score van 4.0 of hoger is een onvoldoende, en de scan wordt herhaald tot het rapport schoon is. Vier geslaagde rapporten per jaar gaan naar de acquirer.
Een ASV-scan is geen penetratietest, hoe vaak salespresentaties die twee ook door elkaar halen. Hij vindt wat een handtekeningendatabase kan vinden en zegt niets over logische fouten in de betaalstroom. In de praktijk gaat het meeste werk zitten in het betwisten van valse positieven, bijvoorbeeld wanneer de scanner een oud versienummer in een banner ziet op een server die maanden geleden is gepatcht.