Scans ASV
Scans ASV trimestriels. Planifiés, suivis, classés.
Si votre agence encaisse via son site web, votre SAQ exige un scan externe de vulnérabilités par un Approved Scanning Vendor au moins une fois tous les trois mois. Nous réalisons les scans, vous aidons à corriger ce qu'ils détectent et conservons chaque rapport réussi dans votre dossier PCI DSS.
En bref
Un scan ASV est un scan externe de vulnérabilités des systèmes exposés à Internet qui entrent dans le périmètre PCI DSS, réalisé par un Approved Scanning Vendor inscrit auprès du PCI Security Standards Council. L'exigence 11.3.2 du PCI DSS en demande un au moins une fois tous les trois mois, et après tout changement significatif, avec un résultat réussi. Pour les agences de voyages, cela concerne généralement le SAQ A lorsque le site redirige vers la page de paiement ou l'intègre, et le SAQ A-EP.
Qui en a besoin
Avez-vous besoin de scans ASV ?
Vous en avez besoin si
- Votre site redirige le client vers la page du prestataire de paiement, ou l'intègre (SAQ A).
- Votre site génère lui-même le formulaire de paiement (SAQ A-EP).
- Votre agence conserve ou traite des données de carte dans ses propres systèmes (SAQ D).
En général, vous n'en avez pas besoin si
- Vous envoyez uniquement des liens de paiement générés par votre prestataire, et votre site n'encaisse rien.
- Vous saisissez les données de carte dans le terminal virtuel d'un prestataire et ne conservez rien (SAQ C-VT).
Fonctionnement
Quatre étapes, chaque trimestre.
- 01
Périmètre
Nous confirmons avec vous quels domaines et adresses IP entrent dans le périmètre.
- 02
Scan
L'Approved Scanning Vendor les analyse depuis Internet, sans toucher à votre réseau interne.
- 03
Correction
Si un scan échoue, nous expliquons chaque constat en termes simples et relançons un scan une fois corrigé.
- 04
Classement
Chaque rapport réussi est conservé avec votre SAQ et votre attestation, prêt dès qu'IATA ou votre acquéreur le demande.
Questions fréquentes
À quelle fréquence les scans ASV sont-ils obligatoires ?
Au moins une fois tous les trois mois, et après tout changement significatif des systèmes du périmètre, comme un nouveau site ou un nouvel hébergeur.
Que signifie un scan réussi ?
Le scan n'a trouvé aucune vulnérabilité que l'ASV Program Guide du PCI SSC classe comme bloquante. Un scan échoué n'est pas une sanction : on corrige les constats et on relance le scan.
Le scan affecte-t-il notre site ?
Les scans ASV sont externes et conçus pour ne pas perturber les systèmes analysés. Ils n'examinent que ce qui est accessible depuis Internet.
Nous avons déjà un ASV. Pouvez-vous quand même préparer notre SAQ ?
Oui. Envoyez-nous ses derniers rapports réussis et nous les intégrons à votre dossier PCI DSS.
Dernier appel
Prêt pour l'embarquement ?
Première fois ou renouvellement, votre PCI DSS préparé par des spécialistes de la conformité des agences de voyages.
