ASV-Scans
Vierteljährliche ASV-Scans. Geplant, nachverfolgt, abgelegt.
Nimmt Ihr Reisebüro Zahlungen über die Website an, verlangt Ihr SAQ mindestens alle drei Monate einen externen Schwachstellenscan durch einen Approved Scanning Vendor. Wir führen die Scans durch, helfen Ihnen, Befunde zu beheben, und bewahren jeden bestandenen Bericht in Ihrer PCI-DSS-Akte auf.
Kurz gesagt
Ein ASV-Scan ist ein externer Schwachstellenscan der aus dem Internet erreichbaren Systeme im PCI-DSS-Geltungsbereich, durchgeführt von einem Approved Scanning Vendor, der beim PCI Security Standards Council gelistet ist. PCI-DSS-Anforderung 11.3.2 verlangt ihn mindestens alle drei Monate und nach jeder wesentlichen Änderung, mit bestandenem Ergebnis. Bei Reisebüros betrifft das meist SAQ A, wenn die Website zur Zahlungsseite weiterleitet oder sie einbettet, sowie SAQ A-EP.
Wer sie braucht
Brauchen Sie ASV-Scans?
Sie brauchen sie, wenn
- Ihre Website Kunden zur Zahlungsseite des Anbieters weiterleitet oder sie einbettet (SAQ A).
- Ihre Website das Zahlungsformular selbst erzeugt (SAQ A-EP).
- Ihr Reisebüro Kartendaten in eigenen Systemen speichert oder verarbeitet (SAQ D).
In der Regel nicht, wenn
- Sie nur Zahlungslinks Ihres Anbieters versenden und Ihre Website keine Zahlungen annimmt.
- Sie Kartendaten im virtuellen Terminal eines Anbieters eingeben und nichts speichern (SAQ C-VT).
So funktioniert es
Vier Schritte, jedes Quartal.
- 01
Umfang
Wir klären mit Ihnen, welche Domains und IP-Adressen im Geltungsbereich liegen.
- 02
Scan
Der Approved Scanning Vendor scannt sie aus dem Internet, ohne Ihr internes Netz zu berühren.
- 03
Behebung
Besteht ein Scan nicht, erklären wir jeden Befund verständlich und scannen erneut, sobald er behoben ist.
- 04
Ablage
Jeder bestandene Bericht liegt bei Ihrem SAQ und der Attestation, bereit, wenn IATA oder Ihr Acquirer danach fragt.
Häufige Fragen
Wie oft sind ASV-Scans Pflicht?
Mindestens alle drei Monate und nach jeder wesentlichen Änderung der Systeme im Geltungsbereich, etwa einer neuen Website oder einem neuen Hosting-Anbieter.
Was bedeutet ein bestandener Scan?
Der Scan hat keine Schwachstellen gefunden, die der ASV Program Guide des PCI SSC als nicht bestanden einstuft. Ein nicht bestandener Scan ist keine Sanktion: Man behebt die Befunde und scannt erneut.
Beeinträchtigt der Scan unsere Website?
ASV-Scans sind extern und so ausgelegt, dass sie die geprüften Systeme nicht stören. Sie betrachten nur, was aus dem Internet erreichbar ist.
Wir haben schon einen ASV. Können Sie trotzdem unseren SAQ vorbereiten?
Ja. Senden Sie uns die letzten bestandenen Berichte, und wir nehmen sie in Ihre PCI-DSS-Akte auf.
Letzter Aufruf
Bereit zum Boarding?
Erstmals oder als Verlängerung: Ihr PCI DSS, vorbereitet von Spezialisten für die Compliance von Reisebüros.
