PCI DSS ASV Scanning
conformiteDéfinition
Approved Scanning Vendor : obligation PCI DSS de réaliser des scans de vulnérabilités trimestriels par un prestataire agréé sur toutes les IP exposées dans le périmètre cardholder data.
Description
L'ASV (Approved Scanning Vendor) PCI DSS est l'obligation de réaliser des scans de vulnérabilités trimestriels par un prestataire agréé PCI SSC sur toutes les adresses IP exposées dans le périmètre Cardholder Data Environment (CDE). Les scans doivent passer sans vulnérabilité CVSS ≥ 4.0.
Exigences clés
Les scans ASV doivent couvrir toutes les IPs externes du CDE. Les exceptions pour les faux positifs doivent être documentées et soumises à l'ASV. Le rapport de scan propre (passing scan) est requis pour la conformité PCI DSS et doit être conservé comme preuve d'audit.
Points clés
- Les scans ASV trimestriels s'ajoutent aux scans internes de vulnérabilités requis par PCI DSS 11.3.1
- PCI DSS v4.0 renforce les exigences avec des scans plus fréquents après changements d'infrastructure significatifs
- Les prestataires ASV accrédités PCI SSC publient une liste officielle mise à jour régulièrement
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis