Guía
Escaneo ASV vs pentest: dos obligaciones PCI distintas
La duda entre escaneo ASV vs pentest surge en casi todo programa PCI. Son requisitos separados, con proveedores, calendarios e informes distintos, así que uno nunca sustituye al otro.
- Preparamos, un QSA evalúa
- Rangos de precio publicados
- Estimación por escrito, todo por correo
Escaneo ASV vs pentest en una tabla
Ambos están en el requisito 11. Sin embargo, responden preguntas distintas y producen documentos distintos.
| Escaneo ASV | Prueba de penetración | |
|---|---|---|
| Quién lo hace | Un Proveedor Aprobado de Escaneo (ASV) | Un equipo de pruebas calificado, interno o externo |
| Frecuencia | Trimestral, y tras cambios importantes | Al menos anual, y tras cambios importantes |
| Alcance | Sistemas del alcance expuestos a internet | El entorno de datos del tarjetahabiente y su límite |
| Método | Escaneo externo automatizado | Pruebas guiadas por personas con un alcance escrito |
| Resultado | Informe de escaneo aprobado o reprobado | Informe de pruebas con hallazgos y una repetición |
Qué demuestra cada uno
Un escaneo aprobado muestra que ese trimestre no se hallaron fallas conocidas de alto riesgo en los sistemas externos. La prueba de penetración muestra cómo resistió su entorno ante un equipo de pruebas calificado, con un alcance escrito.
El escaneo es un chequeo frecuente, y la prueba, una revisión anual más profunda. Como responden preguntas distintas, el QSA busca ambos.
Escaneo ASV vs pentest: revisión del calendario
Marque lo que su calendario ya incluye.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Calendario de escaneo ASV vs pentest
Planee cuatro escaneos aprobados al año, repartidos por trimestre. Reserve pronto la prueba anual, para que la repetición quepa antes de su evaluación.
Programe ambos también tras cambios importantes, como un flujo de pago nuevo o un cambio de hosting.
Las pruebas de segmentación van aparte
Si usa segmentación para reducir el alcance, necesita sus propias pruebas: los comercios, al menos cada 12 meses, y los proveedores de servicios, cada seis.
Un calendario completo tiene tres líneas: escaneos, prueba anual y revisiones de segmentación.
Qué proveedores necesita para el escaneo ASV vs pentest
El escaneo debe venir de una empresa de la lista oficial. La prueba puede hacerla un equipo interno calificado o una firma independiente, siempre que haya independencia organizacional.
Guarde además los informes de cada proveedor en una carpeta por año, y el QSA los encontrará rápido.
Dónde ayuda Ashcroft
Armamos el calendario, informamos a los proveedores y ordenamos las evidencias. Nuestro análisis de brechas cuesta $8,000–$40,000. No somos un QSA y no hacemos escaneos ASV. Los proveedores aprobados están en la lista oficial de Proveedores Aprobados de Escaneo.
Preguntas sobre escaneo ASV vs pentest
Si aprobamos el escaneo ASV, ¿podemos omitir el pentest?
No. Son requisitos separados, así que necesita ambos.
En el escaneo ASV vs pentest, ¿puede hacer ambos la misma empresa?
Sí, si es un proveedor de escaneo aprobado y está calificada para probar.
En el escaneo ASV vs pentest, ¿qué cuesta más?
Normalmente la prueba, porque es trabajo guiado por personas con un alcance escrito.
¿Los comercios con SAQ necesitan ambos?
Depende del tipo de SAQ. Revise el cuestionario que le aplica.
Guías relacionadas
Planee el calendario de escaneo ASV vs pentest
Indíquenos sus canales de pago y sus proveedores actuales. Le enviamos una estimación por escrito, normalmente en un día hábil.
Quiero mi estimación por escrito