Approved Scanning Vendor (ASV)
Компания, аккредитованная PCI Council для внешнего сканирования уязвимостей, которого PCI DSS требует каждый квартал.
Любой продавец или поставщик услуг, чьи системы в среде данных держателей карт доступны из интернета, обязан раз в квартал проверять их внешним сканированием у ASV. Сканирование автоматическое: оно ищет известные уязвимости, ошибки конфигурации и устаревшие версии. Критерий жёсткий — одна находка с оценкой CVSS 4.0 и выше означает провал, и сканирование повторяют, пока результат не станет чистым. Четыре успешных отчёта в год уходят эквайреру.
ASV-сканирование — не пентест, как бы ни размывали это различие презентации продавцов. Оно находит то, что видно по базе сигнатур, и ничего не говорит об ошибках логики в платёжном потоке. На практике большая часть работы — оспаривание ложных срабатываний, например когда сканер увидел старую версию в баннере сервера, который давно обновлён.