取引先やカード会社、決済代行会社から届いた要件のなかに「ASVスキャン」という言葉があり、これが何を指すのか、自社は何をすればよいのかがつかめずに調べている方も多いのではないでしょうか。カード情報を扱う事業では、PCI DSS（クレジットカード業界のセキュリティ基準）への準拠が求められ、その一項目としてASVスキャンが登場します。
ASVスキャンは、一言でいえば「PCI SSC（PCI DSSを策定する国際団体）が認定した外部業者が、インターネットに公開された自社の資産に対して行う脆弱性スキャン」です。名前が似た「ペネトレーションテスト」や「内部脆弱性スキャン」と混同されやすく、まずはこの正体と、自社が対象になるのかを正確につかむことが出発点になります。
本記事では、ASVスキャンとは何かという定義から、自社が対象となる条件、実施頻度と合格基準、似た診断手法との違い、そして認定ASV業者の選び方までを、PCI DSSの公式文書にもとづいて整理します。要件を社内やスケジュールに落とし込むための判断材料としてご活用ください。
目次
ASVスキャンとは？
ASVは「Approved Scanning Vendor」の略で、日本語では「認定スキャンベンダー」と訳されます。ここでの「認定」は自己申告ではなく、PCI SSC（Payment Card Industry Security Standards Council）が審査して付与するものです。PCI SSCはASVの定義を、外部脆弱性スキャンサービスを提供する業者として、次のように示しています。
ASV — Acronym for “Approved Scanning Vendor.”
Refers to a company qualified by PCI SSC for ASV Program purposes to conduct external vulnerability scanning services in accordance with PCI DSS Requirement 11.3.2.
出典：PCI Security Standards Council「Approved Scanning Vendors (ASV) Program Guide」v4.0
ポイントは3つです。第一に、実施するのはPCI SSCの認定を受けた外部業者であること。誰でも使えるツールを回せばよいというものではありません。
第二に、対象はインターネットに公開された外部の資産で、社内ネットワークの内部診断とは切り分けられていること。第三に、これがPCI DSSの要件11.3.2という具体的な条項にひもづく取り組みであることです。この3点を押さえると、要件表に並ぶ一行の意味がつかめるようになります。
PCI DSSの審査を行う「QSA（Qualified Security Assessor＝認定セキュリティ評価機関）」も認定資格ですが、これは準拠状況を審査する立場で、スキャンを実施するASVとは役割が異なります。本記事ではASV（スキャンを行う業者）に絞って解説します。
出典・参考資料（1件）
- 出典：PCI Security Standards Council「Approved Scanning Vendors (ASV) Program Guide」v4.0（PCI SSC Document Library）
自社はASVスキャンの対象になる？
ここからは、自社がASVスキャンを実施すべき立場かどうかを判断する材料を整理します。結論から言うと、判断の軸は「カード会員データを扱っているか」と「外部に公開された資産があるか」の2点です。
この2点に当てはまる場合、PCI DSSでは外部ネットワークの脆弱性スキャンを認定ASVが実施することが求められます。該当する条項は、現行のPCI DSS v4.0.1（2024年6月公開）の要件11.3.2です。要件本文は、外部脆弱性スキャンを次のように定めています。
11.3.2 External vulnerability scans are performed as follows:
・At least once every three months.
出典：PCI DSS v4.0.1 要件11.3.2｜PCI Security Standards Council
・By a PCI SSC Approved Scanning Vendor (ASV).
・Vulnerabilities are resolved and ASV Program Guide requirements for a passing scan are met.
…
「少なくとも3か月に1回」「PCI SSC認定のASVによる実施」「脆弱性を解消し、合格基準を満たすこと」が明記されています。カード会員データを扱い、外部公開資産を持つ事業者は、この要件11.3.2に沿って外部スキャンを手配することになります。
ただし、実際に対応が必要になる範囲は、カード情報の扱い方によって変わります。決済を決済代行会社に完全に委ね、自社ではカード情報を保存・処理・伝送しない構成では、コーポレートサイトなどの外部公開資産があっても、それだけでASVスキャンが必要になるとは限りません。
準拠に必要な範囲は、PCI DSSのスコープとSAQ（自己評価質問票）のタイプで決まります。まず自社の決済構成とSAQタイプを確認し、判断に迷う場合は、カードブランドやアクワイアラー（加盟店契約先）、QSA、決済代行会社に確認してください。
旧バージョンのPCI DSS v3.2.1では、同じ内容が要件11.2.2という番号で規定されていました。v4.0への改訂で条項が再編・採番され、外部ASVスキャンは11.2.2から11.3.2へと番号が変わっています。ウェブ上には旧番号のまま解説している情報も残っているため、社内資料や取引先とのやり取りでは、現行のv4.0.1では11.3.2であることを押さえておくと混乱を避けられます。
出典・参考資料（1件）
- 出典：PCI DSS v4.0.1 Requirements and Testing Procedures 要件11.3.2｜PCI Security Standards Council（PCI SSC Document Library）
ASVスキャンの頻度と合格基準
実務で押さえておきたいのが、どのくらいの頻度で実施するのか、そして何をもって「合格」となるのかです。ここは数字で確認できると、社内説明や年間スケジュールに落とし込みやすくなります。
実施頻度は少なくとも3か月に1回（四半期ごと）
要件11.3.2では、外部ASVスキャンを「At least once every three months（少なくとも3か月に1回）」実施することが求められます。年4回、四半期ごとのペースです。PCI DSSは、ネットワークの複雑さや変更の頻度によっては、これより高い頻度での実施を推奨するとも補足しています。
注意したいのは、「大幅な変更（significant change）があった後の外部スキャン」は別の条項（要件11.3.2.1）で定められている点です。この変更後スキャンについては、PCI DSSは実施者を有資格者としており、ASVでなければならないとは規定していません。
認定ASVによる実施が必須となるのは、要件11.3.2の「3か月ごとの外部スキャン」です。「四半期ごとの定期スキャンはASV、変更後の追加スキャンは有資格者でも可」と切り分けて理解しておくと正確です。
合格基準はCVSSスコア4.0未満（High・Mediumがないこと）
ASVスキャンの合否は、検出された脆弱性の深刻度で判定されます。深刻度の指標には、脆弱性の重大性を数値化する国際的な基準「CVSS（共通脆弱性評価システム）」が使われます。合格基準は、ASV Program Guideに次のように示されています。
With a few exceptions …, any vulnerability with a CVSS base score of 4.0 or higher will result in a non-compliant scan report, and all such vulnerabilities must be remediated by the scan customer.
出典：PCI Security Standards Council「Approved Scanning Vendors (ASV) Program Guide」v4.0 §6
基本の考え方は、CVSSベーススコアが4.0以上の脆弱性が1つでも残っていると不合格になり、修正が必要になる、というものです。ASV Program Guideの区分では、スコア4.0〜6.9（Medium）と7.0〜10.0（High）は不合格、0.0〜3.9（Low）は合格ラインとされています。
加えて、スコアにかかわらず不合格となる「automatic failures（自動不合格項目）」も定められており、初期設定のパスワードなど、それ自体がPCI DSS違反とみなされる項目が該当します。
不合格となった場合は、指摘された脆弱性を修正し、再スキャン（rescan）で解消を確認します。合格に必要な水準を満たすまで、修正と再スキャンを繰り返す流れです。
採点に用いるCVSSのバージョンは、現行のASV Program Guideではv3.1とされています（旧版ではv2が使われていました）。CVSS4.0以上という「しきい値」自体は、PCI DSSのバージョンをまたいで変わっていません。
出典・参考資料（2件）
- 出典：PCI Security Standards Council「Approved Scanning Vendors (ASV) Program Guide」v4.0 §6｜PCI SSC（PCI SSC Document Library）
- 出典：PCI DSS v4.0.1 要件11.3.2｜PCI SSC（PCI SSC Document Library）
ASVスキャンとペネトレ・内部脆弱性スキャン・Webアプリ診断の違い
ASVスキャンは、名前や内容が似た診断手法と混同されがちです。ここでは、ASVスキャンと、ペネトレーションテスト・内部脆弱性スキャン・Webアプリケーション診断を、対象・実施者・対応するPCI DSS要件・頻度で並べて整理します。それぞれが別の要件にひもづくため、この線引きを押さえておくと、どこにASVが必要でどこは自社対応でよいのかが判断できます。
| 診断手法 | ASVスキャン（外部脆弱性スキャン） | 内部脆弱性スキャン | ペネトレーションテスト | Webアプリケーション診断 |
|---|---|---|---|---|
| 対象 | 外部公開資産（グローバルIPを持つWeb・サーバー・ネットワーク機器） | 内部ネットワーク上のシステム | 外部・内部（攻撃者の視点で実際に侵入を試行） | 公開Webアプリケーション |
| 実施者 | PCI SSC認定のASV（外部業者） | 有資格の社内担当者または専門業者（ASV不要） | 独立した有資格者・専門業者（ASV不要） | アプリケーションセキュリティの専門業者・手法（ASV不要） |
| PCI DSS要件 | 要件11.3.2（旧11.2.2） | 要件11.3.1 | 要件11.4（旧11.3） | 要件6.4.1 ほか |
| 実施頻度 | 少なくとも3か月に1回（四半期ごと） | 少なくとも3か月に1回 | 少なくとも12か月に1回＋大幅な変更後 | 少なくとも12か月に1回＋大幅な変更後 |
※各要件の対応関係はPCI DSS v4.0.1にもとづく一般的な整理です。自社の対応要否は準拠状況により異なります。
最も重要な区別は、ASVが必須なのは外部の脆弱性スキャン（要件11.3.2）だけという点です。内部ネットワークの脆弱性スキャン（要件11.3.1）については、PCI DSSは実施者を認定業者に限定していません。要件11.3.1の適用注記では、内部スキャンについて次のように述べられています。
It is not required to use a QSA or ASV to conduct internal vulnerability scans.
Internal vulnerability scans can be performed by qualified, internal staff … or an entity may choose to have internal vulnerability scans performed by a firm specializing in vulnerability scanning.
出典：PCI DSS v4.0.1 要件11.3.1 適用注記｜PCI Security Standards Council
内部スキャンは、独立性を確保した社内の有資格者、または脆弱性診断を専門とする業者が実施できます。ペネトレーションテスト（要件11.4）も、実際に侵入を試みて防御の有効性を確かめる別の取り組みで、外部ペネトレーションテストは少なくとも12か月に1回とされ、ASVである必要はありません。
公開Webアプリケーションの脆弱性評価（要件6.4.1）も同様に、アプリケーションセキュリティの専門業者や手法で対応する位置づけです。
このように、PCI DSS要件11で求められる脆弱性対策のうち、外部スキャンだけがASV必須で、内部スキャン・ペネトレーションテスト・Webアプリ診断は認定業者以外でも実施できます。この切り分けを理解しておくと、どの部分を認定ASVに依頼し、どの部分を自社や一般の脆弱性診断サービスで手当てするか、無駄なく設計できます。
出典・参考資料（1件）
- 出典：PCI DSS v4.0.1 要件11.3.1・11.3.2・11.4・6.4.1｜PCI Security Standards Council（PCI SSC Document Library）
外部スキャンはASVに依頼する一方、内部スキャンやWebアプリケーション診断は、自社や一般の脆弱性診断サービスでも手当てできます。こうしたサービスの資料は、以下からまとめて請求できます。
認定ASV業者の探し方・選び方
自社が外部ASVスキャンの対象だと分かったら、次は依頼先の認定ASV業者を探すことになります。ここでは、認定を確認する正しい情報源と、複数の業者を比べるときの観点を整理します。
認定の確認元はPCI SSC公式のASVリスト
ASVの認定はPCI SSCが付与し、認定を受けた業者はPCI SSC公式サイトのApproved Scanning Vendorsリストに掲載されます。ある業者がASVとして認定されているかどうかは、この公式リストで確認するのが確実です。「PCI DSS対応」と称していても、それが自己申告なのか、正式なASV認定にもとづくものなのかは、公式リストで裏を取れます。
日本国内向けには、日本カード情報セキュリティ協議会（JCDSC）のQSA・ASV一覧で国内の認定事業者を把握できます。日本語対応や国内拠点を重視するならこの一覧から候補を絞り、最終的な認定の有無はPCI SSC公式リストで確認するのが確実です。一次情報はあくまでPCI SSCのリストである点を押さえておきましょう。
業者を比べるときの4つの観点
認定を確認したうえで、複数の候補を比べるときは、次の観点で自社の状況に当てはめると判断しやすくなります。
- 診断対象の範囲：自社の外部公開資産（IPアドレス・ドメインの数、対象システム）をすべてカバーできるか。見積もりは対象範囲によって変わるため、まず自社の対象資産を洗い出しておくと比較しやすくなります。
- レポートの形式と内容：PCI DSS準拠を示すための合格レポート（ASV Program Guideの様式）が得られるか、検出された脆弱性の修正方法まで示されるか。準拠の証跡として使えるかどうかが重要です。
- 要件11のほかの診断も依頼できるか：外部スキャンだけでなく、内部スキャン・Webアプリ診断・ペネトレーションテストまで一括で頼めると、要件11全体の運用を1社に集約でき、窓口が分散しません。
- 実績と運用サポート：継続的に四半期ごとの実施を回すため、スケジュール管理や不合格時の再スキャン対応、日本語での問い合わせ対応など、運用面の支援が受けられるかを確認します。
ASVスキャンは一度実施すれば終わりではなく、四半期ごとに継続する取り組みです。だからこそ、単発の価格だけでなく、年間を通じた運用のしやすさまで含めて比べることが、結果的に社内負担を抑えることにつながります。
出典・参考資料（1件）
- 参考資料：Approved Scanning Vendors（ASV）リスト｜PCI Security Standards Council（PCI SSC 公式サイト）
ASVスキャンの費用の考え方と申込〜結果までの流れ
最後に、費用感と実施イメージを整理します。見積もり・資料請求に進む前の判断材料としてご覧ください。
費用の考え方（見積もりで決まる要因）
ASVスキャンの費用は、多くの提供事業者が公式サイトで金額を公開しておらず、個別見積もりとしています。金額を左右する主な要因は、スキャン対象の規模（グローバルIPアドレスやドメインの数）と、対応範囲（外部スキャン単体か、要件11のほかの診断も含めるか）です。まず自社の外部公開資産を洗い出し、対象数を把握したうえで複数社に見積もりを依頼すると、比較がしやすくなります。
料金は、対象のIPアドレス数に応じた課金を基本とする事業者が多く、外部スキャン単体か要件11の他診断も含めるかによっても変わります。国内で価格を公開しているASV・サービスは限られるため、相場を単一の数字で示すことは難しいのが実情です。正確な金額は、自社構成をもとに見積もりを取って確認するのが確実です。
申込〜結果までの流れ（年間実施イメージ）
一般的な流れは、次のようになります。まず認定ASV業者に申し込み、スキャン対象（IPアドレス・ドメイン）を登録します。次にASVが外部からスキャンを実施し、結果レポートを受け取ります。合格基準を満たしていれば準拠の証跡として利用でき、CVSS4.0以上の脆弱性など不合格項目があれば、それを修正したうえで再スキャンを受けます。合格まで、修正と再スキャンを繰り返します。
これを四半期ごと、年4回のサイクルで継続します。年間の実施計画としては、各四半期にスキャンと（必要に応じた）修正・再スキャンの期間を織り込んでおくと、直前に慌てずに済みます。多くのASV業者は年間契約で、このサイクルを前提に運用支援を提供しています。
PCI DSS要件11全体の脆弱性対策を支えるサービス
ここまで見てきたとおり、外部スキャン（要件11.3.2）は認定ASVに依頼する必要がある一方、内部脆弱性スキャン（要件11.3.1）・Webアプリケーション診断（要件6.4.1）・ペネトレーションテスト（要件11.4）は認定業者以外でも実施できます。要件11全体をカバーするには、これらの診断を組み合わせて手当てすることになります。
ここでは、内部スキャンやWebアプリ診断など、要件11で求められる脆弱性の検出・診断を支える脆弱性診断サービスを紹介します。いずれもPCI SSCのASV認定そのものとは別の位置づけです。外部ASVスキャン自体は認定ASVに依頼することを前提に、要件11の他の部分を継続的に手当てする手段として検討してください。
| サービス名 | Aikido Security | KATABAMI サイバーセキュリティ対策パッケージ | SCT SECURE クラウドスキャン |
|---|---|---|---|
| 提供形態 | オールインワン脆弱性診断SaaS（11種スキャナ統合） | 予防（脆弱性診断）・復旧（バックアップ）・補償（サイバー保険）の統合パッケージ | クラウド型の自動脆弱性診断サービス |
| 診断対象範囲 | ソースコード・クラウド設定・依存関係・コンテナ・実行環境（外部公開資産のDAST含む） | 内部ネットワーク（サーバ・ネットワーク機器・複合機など社内端末） | 外部（Webアプリケーション層＋ネットワーク機器） |
| 診断頻度 | 常時（CI/CD・IDE連携で継続的に診断） | 月次（年12回の定期診断） | 毎日（自動診断） |
| 初期費用 | 要問い合わせ | 要問い合わせ | 要問い合わせ |
| 月額費用 | 月額50,000円台〜（AndGo経由） | 1台1,250円／月〜 | 要問い合わせ（年間契約制） |
| PCI DSS ASVスキャン対応 | ×（ASV認定サービスではない。要件11.3.1の内部診断やコード起因の脆弱性検出を補完） | ×（ASV認定サービスではない。内部ネットワークの診断で要件11を補完） | △（ASV認定エンジンOutpost24を採用し外部脆弱性診断と同内容のテストを実施。単体でのASV準拠レポート出力可否は要確認） |
| 詳細情報 | 公式資料を見る | オンライン相談を予約 | サービス詳細を見る |
※各サービスの情報は各社公式情報にもとづきます（2026年7月時点）。最新の仕様・料金は各社にご確認ください。
1. Aikido Security（株式会社AndGo）
ソースコードからクラウド設定、実行環境までを1つのプラットフォームで診断できるのが、Aikido Security（アイキド セキュリティ）です。SAST（ソースコードの静的解析）やDAST（動的診断）をはじめ、依存関係の解析、クラウド設定の監視、コンテナスキャンなど、11種類のスキャナを単一のダッシュボードに統合しています。
開発元はベルギーのAikido Security BVで、日本市場では株式会社AndGoが正規代理店として導入・運用を支援しています。
3社のなかでのAikidoの位置づけは、ソースコードや依存関係、公開Webアプリケーション、クラウド設定といった開発・アプリケーション層の弱点を継続的に検出する役割です。要件11のWebアプリケーション診断や、要件6の公開Webアプリの脆弱性評価を、開発工程に組み込みながら支えられます。
検出したアラートを自動でトリアージ（優先度付け）して誤検知を抑え、修正案のプルリクエストを自動生成する機能もあり、専任のセキュリティ人材が少ない開発チームでも運用しやすい設計です。
開発元はSOC 2 Type IIおよびISO/IEC 27001:2022に準拠しています。日本ではAndGo経由で月額5万円台からの導入が可能で、日本語での導入支援や請求書払いにも対応します。
Aikido Security自体はPCI SSCのASV認定を持つ外部ASVスキャンのサービスではないため、外部ASVスキャンは別途、認定ASVに依頼する必要があります。
2. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
株式会社SYNCHROのKATABAMI（カタバミ）は、予防・復旧・補償を1つにまとめた統合パッケージです。予防にあたる「KATABAMI VDP」は、ネットワークの内部から月次（年12回）で脆弱性を診断し、A〜Eの5段階評価と改善策のレポートを提示します。外部スキャンでは見えにくい、複合機やネットワーク機器の初期パスワード放置といった内部起点のリスクまで検出できる点を特徴としています。
要件11の内部脆弱性スキャンを、継続的な「定期検診」として支える手段となります。診断で終わらず、検出した問題への対策方法まで伴走する運用が想定されており、専任のセキュリティ担当がいない企業でも取り組みやすい設計です。
料金は診断対象の端末数（ノード数）に応じて1台あたり月額1,250円から、脆弱性診断に加えて隔離経路でのバックアップ（復旧）やサイバー保険（補償）も組み合わせられます。診断専業のサービスではなく、予防・復旧・補償を束ねた統合型である点を踏まえて検討してください。導入前の相談も無料で受け付けており、オンライン相談から始められます。
3. SCT SECURE クラウドスキャン（三和コムテック株式会社）
SCT SECURE クラウドスキャンは、三和コムテック株式会社が提供するクラウド型の自動脆弱性診断サービスです。Webアプリケーション層とネットワーク機器（ルーター・ファイアウォール・DNS等のプラットフォーム層）を対象に、専用ソフトのインストールなしで外部から毎日、脆弱性を診断します。診断結果はポータル画面で一元管理でき、脆弱性のリスク優先順位付けまで行います。
診断エンジンには、PCI SSCのASV認定を受けているOutpost24社製のエンジンを採用しており、PCI DSSで規定される外部脆弱性診断と同内容のテストを実施すると訴求しています。要件11の外部脆弱性スキャンに近い診断を、日次の自動運用で継続できる点が特徴です。
ただし、PCI DSS準拠に必要な正式なASVスキャンレポートの提供は、三和コムテックの別サービス「SCT SECURE ASVスキャン for PCI DSS」として案内されています。クラウドスキャン単体でPCI DSS提出用の正式なASVレポートを出力できるかは、公式サイト上では明確ではありません。
PCI DSS準拠のためのASVスキャンとして検討する場合は、対象製品と提供範囲を提供元に確認することをおすすめします。料金は非公開で、資料請求・問い合わせでの確認となります。
ここで取り上げたのは要件11の脆弱性対策を支えるサービスの一例です。診断方法・費用相場・選び方まで含めて脆弱性診断サービスを幅広く比較検討したい場合は、以下の記事で全体像を解説しています。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
まとめ
ASVスキャンは、PCI SSCが認定した外部業者（ASV）が、インターネットに公開された自社資産に対して行う外部脆弱性スキャンです。カード会員データを扱い、外部公開資産を持つ事業者は、PCI DSS v4.0.1の要件11.3.2にもとづき、少なくとも3か月に1回、認定ASVによる実施が求められます。合格基準はCVSSスコア4.0以上の脆弱性がなく、自動不合格項目もないことです。
一方で、内部脆弱性スキャン・Webアプリ診断・ペネトレーションテストはASV認定業者でなくても実施でき、要件11全体は複数の診断を組み合わせて手当てします。まずは自社が対象かを確認し、対象であれば認定ASVリストで依頼先を探しつつ、要件11のほかの部分は脆弱性診断サービスで継続的に支える、という全体像で計画を立ててください。
よくある質問（FAQ）
Q. 内部ネットワークの脆弱性スキャンにも、ASV（認定スキャンベンダー）による実施が必要ですか？
A. 内部ネットワークの脆弱性スキャンは、ASVによる実施は求められていません。PCI DSS v4.0.1では、内部スキャンは要件11.3.1、外部スキャンは要件11.3.2と条項が分かれており、認定ASVによる実施が必須となるのは外部スキャン（要件11.3.2）だけです。内部スキャンは、独立性を確保した社内の有資格者や、脆弱性診断を専門とする業者でも実施できます。
Q. ASVの認定は、スキャンを受ける自社側で取得する必要がありますか？
A. ASVの認定は外部脆弱性スキャンを提供する事業者向けの資格で、スキャンを受ける一般の事業者が自社で取得する必要はありません。
ASV（Approved Scanning Vendor）はPCI SSCがスキャンサービス提供業者に付与する認定であり、カード情報を扱う事業者は「認定ASVにスキャンを依頼する（受ける）側」にあたります。自社で認定を取るのではなく、PCI SSC公式のASVリストに掲載された認定業者へ依頼します。
Q. ASVスキャンを実施しないとどうなりますか？
A. ASVスキャンを実施しない場合、外部脆弱性スキャンに関するPCI DSS要件11.3.2を満たせず、PCI DSS準拠を示せなくなる可能性があります。
カード情報を扱う事業者のPCI DSS準拠状況は、取引先や決済代行会社、カードブランドから求められることがあり、要件を満たさない状態が契約や取引にどう影響するかは相手先との取り決めによって異なります。具体的な影響は、自社に準拠を求めている相手先に確認するのが確実です。
Q. PCI DSS v3.2.1からv4.0.1で、ASVスキャンの要件は何が変わりましたか？
A. 条項の番号が旧版の要件11.2.2から現行v4.0.1の要件11.3.2へ変わりました。頻度（四半期ごと）・認定ASVによる実施・合格基準という柱は引き継がれており、変わったのは主に番号です。旧番号のまま解説する情報も残るため、現行はv4.0.1の11.3.2と押さえておくと混乱を避けられます。
Q. 市販の脆弱性診断ツールを使えば、ASVスキャンの代わりになりますか？
A. 市販の脆弱性診断ツールを自社で回すだけでは、要件11.3.2の外部スキャンを満たしたことにはなりません。要件11.3.2は、外部脆弱性スキャンをPCI SSC認定のASVが実施することを求めているため、ツール単体の診断では代替できません。
一方、内部スキャン（要件11.3.1）やWebアプリケーション診断（要件6.4.1）はASV以外でも実施できるため、これらは一般の脆弱性診断サービスやツールで手当てできます。
Q. ASVスキャンに合格しなかった場合はどうすればよいですか？
A. ASVスキャンに合格しなかった場合は、指摘された脆弱性を修正し、再スキャン（rescan）で解消を確認します。ASV Program Guideでは、CVSSベーススコアが4.0以上の脆弱性が1つでも残っていると不合格となり、修正が求められます。合格に必要な水準を満たすまで、修正と再スキャンを繰り返す流れです。
脆弱性診断サービスの料金・機能を一括チェック
MCB FinTechカタログでは、PCI DSS要件11の脆弱性対策を支える脆弱性診断サービスの最新資料をまとめて請求できます。各サービスの診断範囲・料金・サポート体制を比較し、自社の準拠対応に合う一社を、無理なく見つけられます。
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
