Compliance Glossar

Ein ASV (Agency Security Vulnerability) ist eine Organisation, die mithilfe einer Reihe von Sicherheitstools und -diensten (einer sogenannten „ASV-Scan-Lösung“) externe Schwachstellenscans durchführt. Ziel ist es, die Sicherheitslage einer Unternehmensumgebung zu testen und Schwachstellen, Fehlkonfigurationen und andere Sicherheitslücken in einem System zu identifizieren, die zu einem Sicherheitsvorfall führen können. 

Dies hilft Organisationen dabei, ihre Datensicherheit zu verbessern und die PCI-DSS-Anforderungen zu erfüllen.

Die Scanlösung eines ASV wird vom PCI SSC strengstens geprüft und zugelassen. Nur dann erhalten sie einen Platz auf der Liste der vom PCI SSC zugelassenen Scan-Anbieter.

Wichtige Phasen beim PCI-ASV-Scan:

• Bestimmen Sie den UmfangDer Kunde bestimmt, welche Teile seines internetseitigen Systems, einschließlich der Komponenten, die Karteninhaberdaten betreffen, gescannt werden sollen.
• ScannenDie ASV führt mithilfe ihrer Scan-Tools Schwachstellenscans durch. Verschiedene Bereiche der Karteninhaberdatenumgebung (CDE) können separat gescannt werden.
• Abhilfe: Nach dem Scanvorgang übermittelt das ASV dem Kunden die Zwischenergebnisse, woraufhin dieser die notwendigen Maßnahmen ergreift, um etwaige Probleme zu beheben.
• Auflösung: Bei Unstimmigkeiten bezüglich der Scan-Ergebnisse arbeiten der Kunde und ASV gemeinsam an deren Lösung.
• Erneuter Scan (falls erforderlich): Es werden so lange weitere Scans durchgeführt, bis alle Konflikte und Ausnahmen behoben sind.
• Abschlussbericht: Wenn keine Schwachstellen mehr vorhanden sind, erstellt der ASV einen von PCI ASV genehmigten Bericht und übermittelt diesen sicher an den Kunden.