Czym jest skanowanie ASV? Skanowanie ASV to kwartalny zewnętrzny skan podatności wszystkich systemów dostępnych z internetu, powiązanych ze środowiskiem danych kartowych, wykonywany przez dostawcę z listy Approved Scanning Vendor prowadzonej przez PCI SSC. Jest wymogiem PCI DSS (wymaganie 11.3.2) i weryfikuje, czy Twoja strona oraz powiązane systemy nie mają znanych, wykorzystywalnych podatności.
Definicja kanoniczna: Skanowanie ASV (Approved Scanning Vendor) to zewnętrzny skan podatności systemów dostępnych z internetu, wykonywany co najmniej raz na kwartał przez dostawcę zatwierdzonego przez PCI SSC, którego pozytywny wynik potwierdza brak podatności o istotności CVSS 4.0 lub wyższej.
Skan ASV to jeden z najczęściej mylonych elementów PCI DSS. Ten artykuł wyjaśnia, czym dokładnie jest, co sprawdza na Twojej stronie, jak wygląda „pozytywny wynik” i czym różni się od innych testów bezpieczeństwa.
Skanowanie ASV – w skrócie:
- ASV (Approved Scanning Vendor) to organizacja z rozwiązaniem skanującym zatwierdzonym przez PCI SSC, uprawniona do wykonywania zewnętrznych skanów podatności na potrzeby PCI DSS.
- Skan realizuje wymaganie 11.3.2 PCI DSS v4.0.1: kwartalny zewnętrzny skan wszystkich systemów dostępnych z internetu w zakresie środowiska danych kartowych.
- Pozytywny wynik oznacza brak podatności o istotności CVSS 4.0 lub wyższej oraz brak warunków automatycznej porażki – potwierdzony ponownym skanem po remediacji.
- Formalnym dowodem jest Attestation of Scan Compliance (AoSC) wydawane przez ASV; bez niego nie można zwalidować wymogu zewnętrznego skanowania.
- Zwykły skaner podatności (np. własna instancja narzędzia) nie spełnia 11.3.2 – tylko dostawca z listy PCI SSC może wydać zgodny atest.
- Patronusec wspiera organizacje w skanowaniu ASV oraz interpretacji wyników i remediacji w ramach usługi skanowania ASV.
Spis treści
Czym jest ASV i skanowanie ASV?
ASV to organizacja z zestawem usług i narzędzi („rozwiązanie skanujące ASV”), której PCI SSC nadał uprawnienie do wykonywania zewnętrznych skanów podatności na potrzeby PCI DSS. Skanowanie ASV to sam proces takiego skanu: zdalne badanie systemów widocznych z internetu pod kątem znanych podatności.
Approved Scanning Vendor to nie dowolna firma z narzędziem do skanowania. Rozwiązanie skanujące dostawcy jest testowane i zatwierdzane przez PCI SSC, zanim dostawca trafi na oficjalną listę Approved Scanning Vendors – i musi być corocznie re-zatwierdzane. To rozróżnienie jest kluczowe: capable scanner to nie to samo co ASV. Narzędzia takie jak popularne skanery podatności są legalnymi narzędziami, ale nie mogą wydawać zgodnych z PCI atestów.
Skanowanie ASV bada systemy dostępne z internetu: zewnętrzne adresy IP, domeny i aplikacje webowe osiągalne z sieci publicznej. Nie obejmuje sieci wewnętrznej – to odrębna kontrola pod wymaganiem 11.3.1. Skan jest niezaburzający (bez eksploatacji podatności) i skupia się na wykryciu i sklasyfikowaniu znanych słabości, a nie na ich wykorzystaniu.
Kluczowa różnica: skanowanie ASV to nie kwestia posiadania dobrego skanera, lecz posiadania skanu wykonanego przez dostawcę, którego rozwiązanie PCI SSC przetestowało i wpisało na oficjalną listę – tylko taki skan liczy się do PCI DSS.
Które wymaganie PCI DSS realizuje skan ASV?
Skan ASV realizuje wymaganie 11.3.2 PCI DSS v4.0.1: kwartalny zewnętrzny skan podatności wszystkich systemów dostępnych z internetu w zakresie środowiska danych kartowych, wykonywany przez dostawcę z listy PCI SSC. Uzupełnia je wymaganie 11.3.2.1 dotyczące skanów po istotnych zmianach.
Struktura wymagań dotyczących skanowania w PCI DSS v4.0.1:
- Wymaganie 11.3.2 – zewnętrzne skanowanie podatności. Wszystkie systemy dostępne z internetu w zakresie muszą być skanowane co najmniej raz na trzy miesiące przez ASV. To rdzeń obowiązku skanowania ASV.
- Wymaganie 11.3.2.1 – skany po istotnych zmianach. Po każdej istotnej zmianie w środowisku zewnętrznym trzeba wykonać dodatkowy skan podatności. Skan kwartalny musi wykonać ASV; skan po istotnej zmianie może wykonać wykwalifikowany personel wewnętrzny, choć wiele organizacji korzysta tu z ASV dla zachowania niezależności.
- Wymaganie 11.3.1 – skanowanie wewnętrzne. To odrębna kontrola dotycząca sieci wewnętrznej, której ASV nie obejmuje. Warto jej nie mylić ze skanowaniem ASV.
Istotna zmiana w PCI DSS v4: obowiązek regularnych skanów ASV objął także merchantów wypełniających SAQ A. Dotyczy to sprzedawców e-commerce, których strona przekierowuje płatność do zgodnego z PCI dostawcy zewnętrznego (TPSP) lub osadza jego formularz płatniczy. Intencją jest ograniczenie ryzyka kompromitacji przez skanowanie i usuwanie podatności, które mogłyby zagrozić połączeniu ze stroną płatniczą TPSP.
Skanowanie ASV to nie opcjonalny dodatek, lecz twarde wymaganie PCI DSS 11.3.2 – a od wersji v4 objęło również merchantów SAQ A, którzy wcześniej byli z niego zwolnieni.
Co konkretnie sprawdza skan na Twojej stronie?
Skan ASV sprawdza systemy dostępne z internetu pod kątem znanych podatności i błędów konfiguracji, które atakujący mógłby wykorzystać zdalnie. Bada powierzchnię ataku widoczną z zewnątrz: serwery, usługi, aplikacje webowe i ich konfigurację – bez eksploatacji i bez testowania logiki biznesowej.
Typowe obszary, które skan wykrywa:
- Znane podatności oprogramowania. Nieaktualne wersje serwerów, bibliotek i komponentów z opublikowanymi podatnościami (CVE) o znanej istotności.
- Błędy konfiguracji. Słabe konfiguracje usług, niepotrzebnie otwarte porty, ekspozycja paneli administracyjnych.
- Problemy z szyfrowaniem transmisji. Przestarzałe protokoły i słabe zestawy szyfrów w połączeniach chroniących dane.
- Podatności aplikacji webowej. Wykrywalne automatycznie słabości warstwy aplikacyjnej strony dostępnej z internetu.
Ważne są też granice tego, czego skan ASV nie robi. Nie eksploatuje podatności (nie próbuje realnie włamać się do systemu). Nie testuje logiki biznesowej aplikacji. Nie obejmuje sieci wewnętrznej. To odróżnia go od testu penetracyjnego, który aktywnie próbuje wykorzystać słabości i bada także logikę oraz ścieżki, których automatyczny skan nie dosięgnie. Skan ASV i test penetracyjny to komplementarne, nie zamienne kontrole.
Dla właściciela strony praktyczny sens skanu ASV jest prosty: regularnie potwierdza, że systemy widoczne z internetu nie mają znanych, wykorzystywalnych słabości – a jeśli mają, wskazuje je do usunięcia, zanim zrobi to atakujący.
Jak wygląda pozytywny wynik i proces po skanie?
Pozytywny wynik skanu ASV oznacza brak podatności o istotności CVSS 4.0 lub wyższej oraz brak warunków automatycznej porażki, potwierdzony ponownym skanem po ewentualnej remediacji. Formalnym dowodem jest Attestation of Scan Compliance (AoSC) wydawane przez dostawcę.
Cykl skanu i jego wynik:
- Skan. ASV skanuje wszystkie systemy w zakresie dostępne z internetu.
- Klasyfikacja wyników. Wykryte podatności są oceniane według istotności CVSS. Każda podatność o CVSS 4.0 lub wyższej oraz każdy warunek automatycznej porażki oznacza wynik negatywny.
- Remediacja i ponowny skan. Jeśli skan wypada negatywnie, organizacja usuwa podatności i zamawia ponowny skan – i tak aż do uzyskania wyniku pozytywnego w tym samym kwartale.
- AoSC. Po spełnieniu kryteriów ASV wydaje Attestation of Scan Compliance – oficjalny dowód pozytywnego skanu.
AoSC jest praktycznym sercem całego procesu. Merchantzy wypełniający określone SAQ dołączają AoSC, by zwalidować, że wymagane skany zostały wykonane i wypadły pozytywnie. Bez pozytywnego AoSC od ASV organizacja nie może zwalidować zgodności z wymogiem zewnętrznego skanowania PCI DSS. Po wyborze dostawcy większość ASV nie ogranicza liczby generowanych raportów, więc remediację i ponowne skany można powtarzać do skutku.
Patronusec Insight: Z naszego doświadczenia projektowego wynika, że organizacje najczęściej mylą „wykonanie skanu” z „uzyskaniem pozytywnego skanu”. Sam skan to dopiero początek – realną pracą jest interpretacja wyników, oddzielenie realnych podatności od szumu i skuteczna remediacja przed końcem kwartału. Rekomendujemy planować skan z zapasem czasowym: pierwszy skan na początku kwartału daje przestrzeń na remediację i ponowny skan, zanim upłynie termin. Skan zamówiony w ostatnim tygodniu kwartału nie zostawia miejsca na poprawki.
FAQ
Czym różni się skanowanie ASV od testu penetracyjnego?
Skan ASV to automatyczny, niezaburzający skan podatności systemów widocznych z internetu, wykonywany kwartalnie przez zatwierdzonego dostawcę. Test penetracyjny aktywnie próbuje wykorzystać słabości, bada logikę biznesową i ścieżki niedostępne dla automatu. PCI DSS wymaga obu jako odrębnych kontroli – są komplementarne, nie zamienne.
Czy mogę użyć własnego narzędzia do skanowania zamiast ASV?
Nie do wymagania 11.3.2. Kwartalny zewnętrzny skan musi wykonać dostawca z listy Approved Scanning Vendors PCI SSC, bo tylko jego rozwiązanie zostało przetestowane i zatwierdzone, i tylko on może wydać zgodny atest (AoSC). Własne narzędzia mogą wspierać skan po istotnej zmianie (11.3.2.1) lub bieżące zarządzanie podatnościami, ale nie zastąpią skanu ASV.
Jak często trzeba wykonywać skan ASV?
Co najmniej raz na trzy miesiące (kwartalnie) dla wszystkich systemów dostępnych z internetu w zakresie, plus dodatkowy skan po każdej istotnej zmianie w środowisku zewnętrznym (wymaganie 11.3.2.1). W praktyce warto skanować z zapasem czasowym na początku kwartału, by zostawić przestrzeń na remediację i ponowny skan przed terminem.
Co oznacza „pozytywny” skan ASV?
Pozytywny skan to brak podatności o istotności CVSS 4.0 lub wyższej oraz brak warunków automatycznej porażki, potwierdzony ponownym skanem po ewentualnej remediacji. Dopiero po spełnieniu tych kryteriów ASV wydaje Attestation of Scan Compliance (AoSC) – formalny dowód zgodności ze skanowaniem.
Czy skan ASV dotyczy też małych sklepów SAQ A?
Tak, od PCI DSS v4. Obowiązek regularnego skanowania ASV objął merchantów SAQ A, których strona przekierowuje płatność do zgodnego z PCI dostawcy zewnętrznego lub osadza jego formularz płatniczy. Skan dotyczy systemu hostującego stronę powiązaną z płatnością, by ograniczyć ryzyko kompromitacji połączenia ze stroną płatniczą dostawcy.
Co dostaję po pozytywnym skanie ASV?
Attestation of Scan Compliance (AoSC) – oficjalny dokument potwierdzający, że skan został wykonany przez zatwierdzonego dostawcę i wypadł pozytywnie. To dowód, który dołącza się do walidacji PCI DSS, aby potwierdzić spełnienie wymogu zewnętrznego skanowania. Zwykle dochodzi do tego raport z listą wykrytych podatności i ich statusem.
Warto przeczytać
Ścieżka lektury dla tematu skanowania ASV:
- Skanowanie ASV dla laika – co to jest i co dostaje klient kupujący usługę – to samo zagadnienie w ujęciu nietechnicznym.
- Skanowanie ASV a testy DORA lub NIS2 – jak wykorzystać jeden skan do wielu standardów – jak skan ASV wpisuje się w szerszy krajobraz testowania.
- Zakres certyfikacji PCI DSS – od czego zacząć i jak go określić – jak ustalić, które systemy podlegają skanowaniu.
Skanowanie ASV – bezpłatna konsultacja
Patronusec wspiera organizacje w skanowaniu ASV – od zdefiniowania zakresu, przez skan i interpretację wyników, po remediację i uzyskanie AoSC. Umów bezpłatną konsultację, aby sprawdzić, które systemy podlegają skanowaniu w Twoim przypadku.
