Approved Scanning Vendor (ASV)
Firma zatwierdzona przez PCI Council do przeprowadzania zewnętrznych skanów podatności, których PCI DSS wymaga co kwartał.
Każdy sprzedawca lub dostawca usług, który ma w środowisku danych kart systemy dostępne z internetu, musi je poddawać skanowaniu z zewnątrz przez ASV co najmniej raz na kwartał. Skan jest automatyczny i szuka znanych podatności, błędów konfiguracji oraz przestarzałych wersji. Kryterium zaliczenia jest bezlitosne: jedno znalezisko z oceną CVSS 4.0 lub wyższą oznacza porażkę, a skan trzeba powtarzać, aż wynik będzie czysty. Cztery pozytywne raporty rocznie trafiają do agenta rozliczeniowego (acquirera).
Skan ASV nie jest testem penetracyjnym, choćby prezentacje handlowców skutecznie zacierały tę różnicę. Znajduje to, co może znaleźć baza sygnatur, i nie mówi nic o błędach logiki w procesie płatności. W praktyce większość pracy to podważanie fałszywych alarmów, np. gdy skaner wyłapie starą wersję w banerze serwera, który został załatany miesiące temu.