---
title: "Blog de Internet Security Auditors: Escaneos ASV: ¿Empresa o Herramienta?"
description: Noticias sobre la compañía y Ciberseguridad.
---

[Blog de Internet Security Auditors](https://blog.isecauditors.com)

# [Blog de Internet Security Auditors: Escaneos ASV: ¿Empresa o Herramienta?](https://blog.isecauditors.com/2015/03/escaneos-asv-empresa-o-herramienta.html)

 Escrito por [Internet Security Auditors](https://blog.isecauditors.com/author/internet-security-auditors) | 5 mar 2015, 5:00:00

Uno de los puntos requeridos en la Norma **PCI DSS** se basa en que la empresa que realiza los escaneos externos (requerimiento 11.2.2) esté incluida en las listas de **ASV** ( *Approved Scanning Vendors*). Estas listas están publicadas en la página del **PCI SSC** indicando el lugar en el que operan, teléfono de contacto y si disponen de empleados **ASV** cualificados (certificados adicionalmente como ASV):

 Este último punto es muy importante. Cuando una empresa aparece como proveedor **ASV** autorizado se requiere que la propia empresa sea **ASV** y un número mínimo de empleados certificados como tal:

 Esto quiere decir que generalmente para presentar un informe de escaneos **ASV** se requiere que sea alguien autorizado/cualificado para ello y además sea quien interprete los resultados, ya que el **PCI SSC** establece un plan específico para corroborar que está capacitado para tal fin.

 Otro aspecto a tener en cuenta es que hay que distinguir entre empresa **ASV**, solución/herramienta **ASV** y servicio de escaneo **ASV**:

 Según el programa **ASV** definido por el  **PCI SSC**, únicamente empleados certificados como **ASV** están autorizados a configurar la herramienta de escaneo y modificar los resultados de los escaneos tras realizar una interpretación de los mismos:

 Adicionalmente, en el informe de resultados **ROC** generado por una **QSA**, se requiere verificar que el proveedor empleado para realizar escaneos **ASV** esté incluido en las listas del **PCI SSC** y además se debe incluir su código de empresa certificada:

 La conclusión en relación con los escaneos **ASV** es que no sólo es necesario utilizar una herramienta de escaneos de vulnerabilidades que permita cumplir con los requisitos **ASV**, si no que la propia empresa que configura tal herramienta e interpreta los resultados debe estar certificada como **ASV** y estar incluida en las listas del **PCI SSC**.

 Fuentes:   
[https://www.pcisecuritystandards.org/approved\_companies\_providers/approved\_scanning\_vendors.php](https://www.pcisecuritystandards.org/approved_companies_providers/approved_scanning_vendors.php)   
[https://www.pcisecuritystandards.org/documents/ASV\_Program\_Guide\_v2.pdf](https://www.pcisecuritystandards.org/documents/ASV_Program_Guide_v2.pdf)   
[https://www.pcisecuritystandards.org/documents/asv\_qualification\_requirements\_v2.1.pdf](https://www.pcisecuritystandards.org/documents/asv_qualification_requirements_v2.1.pdf)

***Autor: Javier Lorrio - CISSP, CISA, CCSA, CCSE***   
***Departamento de Consultoría.***

[Ver post completo](https://blog.isecauditors.com/2015/03/escaneos-asv-empresa-o-herramienta.html)

```json
{
  "@context" : "http://schema.org",
  "@type" : "BlogPosting",
  "author" : {
    "@type" : "Person",
    "name" : "Internet Security Auditors"
  },
  "dateModified" : "2023-06-14T16:27:31.665Z",
  "datePublished" : "2015-03-05T05:00:00Z",
  "headline" : "Escaneos ASV: ¿Empresa o Herramienta?",
  "image" : {
    "@type" : "ImageObject",
    "height" : 265,
    "url" : "https://25534193.fs1.hubspotusercontent-eu1.net/hubfs/25534193/Imported_Blog_Media/escaneosASV_1-1.jpg",
    "width" : 505
  },
  "mainEntityOfPage" : "https://blog.isecauditors.com/2015/03/escaneos-asv-empresa-o-herramienta.html",
  "publisher" : {
    "@type" : "Organization",
    "logo" : {
      "@type" : "ImageObject",
      "height" : 60,
      "url" : "/hs/hsstatic/content_shared_assets/static-1.4092/img/default-amp-logo.png",
      "width" : 60
    },
    "name" : "Blog"
  }
}
```