Guía
El escaneo ASV: trimestral, externo y solo de proveedores aprobados
Un escaneo ASV es un escaneo externo trimestral de vulnerabilidades que hace un Proveedor Aprobado de Escaneo (ASV). Este escaneo revisa todo lo suyo expuesto a internet que pueda afectar datos de tarjetas, y solo un proveedor listado puede hacerlo.
- Preparamos, un QSA evalúa
- Rangos de precio publicados
- Estimación por escrito, todo por correo
Quién puede hacer un escaneo ASV
Solo las empresas de la lista oficial de Proveedores Aprobados de Escaneo pueden emitir el informe que su banco acepta. Por eso una herramienta de escaneo común, por buena que sea, no cumple el requisito por sí sola.
Con qué frecuencia toca
Los escaneos externos se exigen al menos cada tres meses, y después de cambios importantes. Además, cada trimestre necesita un resultado aprobatorio, así que un escaneo reprobado debe corregirse y repetirse.
| Punto | Regla típica |
|---|---|
| Frecuencia | Al menos cada trimestre. |
| Tras cambios | Reescanear tras cambios importantes. |
| Aprobación | Sin vulnerabilidades por encima del umbral permitido. |
| Precio de mercado | De $1,200 a $8,000 al año, aproximadamente. |
Revisión de preparación para el escaneo ASV
Marque lo que ya tiene.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Qué hace fallar un escaneo ASV
Las fallas suelen venir de software desactualizado, cifrado débil o servicios expuestos por error. Corregirlas suele ser sencillo, pero toma tiempo.
- Versiones viejas del servidor web o del framework
- Configuración TLS débil
- Interfaces de administración expuestas
- Servidores olvidados que siguen en línea
Disputas y falsos positivos
A veces un escaneo marca algo que en realidad no es explotable. En ese caso, puede disputarlo con evidencias ante el proveedor. Sin embargo, documente bien el razonamiento, porque el proveedor decide.
Nuestro papel con el escaneo ASV
No hacemos escaneos ASV, porque eso requiere un proveedor aprobado. En cambio, le ayudamos a definir objetivos, corregir fallas y preparar evidencias para disputas. Además, no somos un QSA.
Planee con cuidado el primer trimestre, porque suele encontrar más problemas. Después, los trimestres siguientes suelen aprobar rápido, siempre que nadie añada un servicio nuevo sin avisar a quien gestiona el alcance del escaneo.
Preguntas sobre el escaneo ASV
¿Podemos hacer el escaneo ASV por nuestra cuenta?
No. Solo un Proveedor Aprobado de Escaneo listado puede emitir un informe aceptado.
¿Un escaneo ASV es una prueba de penetración?
No. Es un escaneo automatizado, y la prueba de penetración es un requisito aparte.
¿Qué pasa si falla un escaneo ASV?
Corrige los problemas y reescanea hasta aprobar ese trimestre.
¿Ustedes hacen escaneos?
No. Le ayudamos a prepararse y corregir, y un proveedor aprobado escanea.
Guías relacionadas
Apruebe sus escaneos cada trimestre
Indíquenos sus sistemas expuestos a internet. Le respondemos con una estimación por escrito para el apoyo en remediación.
Quiero mi estimación por escrito