Een Approved Scanning Vendor (ASV) is een bedrijf dat door de PCI Security Standards Council is gecertificeerd om de externe kwetsbaarheidsscans uit te voeren die PCI DSS minstens elk kwartaal vereist. ASV-scans sonderen je internetgerichte systemen van buitenaf op bekende kwetsbaarheden, en het geslaagde scanrapport is onderdeel van het compliancebewijs dat merchants indienen met hun SAQ of Report on Compliance.
Wat controleert een ASV-scan werkelijk?
Een ASV-scan draait vanaf de infrastructuur van de leverancier tegen je publieke voetafdruk: webservers, blootgestelde services, TLS-configuraties, bekende kwetsbare softwareversies en veelvoorkomende misconfiguraties. De leverancier werkt volgens de ASV Program Guide van de Council, die de scoring standaardiseert — kwetsbaarheden met CVSS 4.0 of hoger laten de scan doorgaans zakken — en vereist dat de ASV de resultaten attesteert.
Onder PCI DSS 4.0.1 verplicht eis 11.3.2 deze scans minstens eens per drie maanden en na significante wijzigingen. Zak je, dan herstel je en scan je opnieuw tot je slaagt.
ASV-scan vs interne scan vs penetratietest
| ASV-scan | Interne kwetsbaarheidsscan | Penetratietest | |
|---|---|---|---|
| Wie voert hem uit | Door PCI SSC gecertificeerde leverancier | Je eigen team of een gekwalificeerde tool | Gekwalificeerde testers (intern of extern) |
| Gezichtspunt | Buitenaf, internetgericht | Binnen het netwerk | Beide, doelgericht |
| Methode | Geautomatiseerd scannen | Geautomatiseerd scannen | Handmatige exploitatie |
| PCI-eis | 11.3.2, per kwartaal | 11.3.1, per kwartaal | 11.4, minstens jaarlijks |
| Resultaat | Geattesteerd geslaagd/gezakt-rapport | Geprioriteerde bevindingen om te herstellen | Verhalend rapport van uitgebuite paden |
Alle drie zijn controles op netwerk- en systeemniveau. Geen enkele voert je website uit zoals de browser van een klant dat doet.
Wat een ASV-scan niet kan zien
Een ASV-scan rendert je checkoutpagina nooit. Hij kan de JavaScript die werkelijk in de browser van een klant draait niet observeren — precies waar e-skimming gebeurt. Een Magecart-script dat via een gecompromitteerde derde partij is geïnjecteerd, slaagt voor elke kwartaalscan, want vanaf de netwerkrand is er niets aan je servers veranderd.
Die blinde vlek is waarom PCI DSS 4.0.1 twee eisen op browserniveau toevoegde: 6.4.3, een geautoriseerde inventaris van elk script op betaalpagina's met zakelijke onderbouwing, en 11.6.1, manipulatiedetectie voor de headers en scriptinhoud die de browser van de consument ontvangt. Die eisen hebben bewijs uit echte sessies nodig, geen netwerksondes — en dat is wat csides PCI Shield produceert, in het formaat dat QSA's daadwerkelijk accepteren.
Hoe de stukken passen
Zie de ASV-kwartaalscan als perimeterhygiëne, de penetratietest als een adversariale oefening, en 6.4.3/11.6.1 als runtimebescherming van de betaalpagina zelf. Een volledige PCI DSS 4.0.1-houding heeft alle drie de lagen nodig, en de kosten van elk schalen anders: ASV-scannen is een commodity en goedkoop; bewijs op browserniveau is waar merchants tijdens hun eerste 4.0.1-beoordeling het vaakst een gat ontdekken.
