Um Approved Scanning Vendor (ASV) é uma empresa certificada pelo PCI Security Standards Council para realizar os scans externos de vulnerabilidades que o PCI DSS exige pelo menos trimestralmente. Os scans ASV sondam os seus sistemas expostos à internet em busca de vulnerabilidades conhecidas de fora, e o relatório aprovado faz parte da evidência de conformidade que os comerciantes enviam com o SAQ ou o Report on Compliance.
O que um scan ASV realmente verifica?
Um scan ASV roda a partir da infraestrutura do fornecedor contra a sua pegada pública: servidores web, serviços expostos, configurações TLS, versões de software com vulnerabilidades conhecidas e erros de configuração comuns. O fornecedor opera sob a ASV Program Guide do Council, que padroniza a pontuação — vulnerabilidades com CVSS 4.0 ou mais geralmente reprovam o scan — e exige que o ASV ateste os resultados.
No PCI DSS 4.0.1, o requisito 11.3.2 obriga esses scans pelo menos uma vez a cada três meses e após mudanças significativas. Reprovou, remedia e reescaneia até passar.
Scan ASV vs scan interno vs teste de penetração
| Scan ASV | Scan interno de vulnerabilidades | Teste de penetração | |
|---|---|---|---|
| Quem realiza | Fornecedor certificado pelo PCI SSC | A sua equipe ou qualquer ferramenta qualificada | Testers qualificados (internos ou externos) |
| Ponto de observação | De fora, exposto à internet | Dentro da rede | Qualquer um, orientado a objetivo |
| Método | Scan automatizado | Scan automatizado | Exploração manual |
| Requisito PCI | 11.3.2, trimestral | 11.3.1, trimestral | 11.4, pelo menos anual |
| Resultado | Relatório atestado de aprovado/reprovado | Achados priorizados para remediação | Relatório narrativo dos caminhos explorados |
Os três são controles no nível de rede e sistemas. Nenhum deles executa o seu site como o navegador de um cliente faz.
O que um scan ASV não consegue ver
Um scan ASV nunca renderiza a sua página de checkout. Ele não consegue observar o JavaScript que realmente executa no navegador de um cliente — que é exatamente onde o e-skimming acontece. Um script Magecart injetado por meio de um terceiro comprometido passa em todos os scans trimestrais, porque, da borda da rede, nada mudou nos seus servidores.
Esse ponto cego é a razão pela qual o PCI DSS 4.0.1 adicionou dois requisitos da camada do navegador: o 6.4.3, um inventário autorizado de cada script das páginas de pagamento com justificativa de negócio, e o 11.6.1, detecção de adulteração dos cabeçalhos e do conteúdo dos scripts que o navegador do consumidor recebe. Esses requisitos precisam de evidência de sessões reais, não de sondas de rede — que é o que o PCI Shield do cside produz, no formato que os QSAs realmente aceitam.
Como as peças se encaixam
Pense no scan ASV trimestral como higiene do perímetro, no teste de penetração como um exercício adversarial, e no 6.4.3/11.6.1 como proteção em tempo de execução da própria página de pagamento. Uma postura completa de PCI DSS 4.0.1 precisa das três camadas, e o custo de cada uma escala de forma diferente: o scan ASV é comoditizado e barato; a evidência da camada do navegador é onde os comerciantes mais frequentemente descobrem uma lacuna durante a primeira avaliação 4.0.1.
