安律國際取得 PCI DSS ASV 資格
📢安律國際取得 PCI DSS ASV 資格:
🌏亞太區少數同時具備四項 PCI 資格的合規認證公司
安律國際通過 PCI SSC 嚴格審核，正式成為 PCI DSS 官方認可的 ASV 弱點掃描機構，提供支付產業高規等級的弱點掃描服務。
安律國際現已具備 四項 PCI 國際金融認證服務資格：
✅PCI DSS QSA（Qualified Security Assessor）
✅PCI 3DS Assessor
✅PCI PIN Security Assessor
✅PCI DSS ASV（Approved Scanning Vendor）
PCI DSS, 3DS , PIN Security 是三個支付卡產業最重要的標準，本次加上代表技術安全的 PCI ASV ，將可以完善地提供金融支付產業從制度、流程管理到技術安全管理的完整認證的服務，為客戶打造「一站式」PCI 合規解決方案。
🔍ASV 不只是一般規格的漏洞掃描，而是一套經 PCI SSC 驗證的完整漏洞檢查的服務方式
根據 PCI DSS 要求，所有儲存、處理或傳輸持卡人資料的機構，須每季提交弱點掃描報告，PCI SSC 支付卡產業安全標準協會（Payment Card Industry Security Standard Council，以下稱 PCI SSC）規定，所適用的金融支付機構均需要每一季通過其認可的 ASV（Approved Scanning Vendor）服務機構執行掃描及提供報告。
金融支付業界認可的 ASV 是業界最嚴格的服務執行方式，包含三重要求：
1️⃣ 掃描工具 — ASV 服務所使用的漏洞檢測方式 (包含人工、流程及技術工具)，須依據 PCI SSC 制定的標準完整辨識所有已知漏洞的嚴格測試，並在限時 18 小時內完成 Test Bed 的全面掃描與分析。
2️⃣ 執行顧問、團隊— 執行檢測的工程師及服務管理人員須每年通過一次 PCI SSC的專業考試，確保其專業知識及服務流程均符合 PCI SSC 的規定。
3️⃣ 報告產出 — 經官方稽核，確保結果判讀、確保報告內容詳實呈現漏洞的發現結果，後續工具誤報處理、報告格式皆具一致性與管理的可追溯性。
所以，一個核可的PCI SSC ASV 檢測服務需經過 PCI SSC 進行最終審查與核可，經官方確認通過後，該公司與方案才能獲得 正式 ASV 資格。
這項過程，全面考驗服務公司與方案：
🔎偵測廣度 — 能否覆蓋多層級協定弱點
🎯判斷準確度 — 能否區分誤報與真實風險
📋報告嚴謹性 — 能否提供可審核的合規證據
✨ ASV 的價值：不僅完整漏洞掃描，更是被全球支付產業信任的結果
📅2025 年 10 月，安律國際正式通過 PCI SSC 嚴格審核，正式列入官方 ASV（Approved Scanning Vendor）名單。
這項榮譽代表：
金融支付業界認可：僅有 ASV 掃描報告能作為 PCI DSS 合規審核依據。
技術、團隊與流程皆經 PCI SSC 驗證。
支付產業信任基準：身為亞太區少數同時具 QSA × 3DS × PIN Security × ASV資格的顧問公司，安律國際將協助企業在多國監管體系下維持持續合規。
未來，我們將以此為起點，不只協助金融支付業者完成 ASV 掃描與合規報告，
更為所有關注資安的企業，提供跨產業、跨區域的外部網域弱點掃描、報告及相關服務。
—— 讓「合規」成為你的商業成長優勢。
立即聯絡，獲取專屬ASV 弱點掃描支援
👉 聯絡我們
FAQ
Q1：什麼是 PCI DSS ASV？
ASV（Approved Scanning Vendor）是由 PCI Security Standards Council（PCI SSC） 認可、其掃描解決方案經測試核可的外部弱點掃描服務商。 依 PCI DSS 要求 11.3.2，組織須每三個月由 ASV 執行外部掃描並出具通過報告，以維持近 12 個月的合規證據。
Q2：ASV 與一般掃描工具有何不同？
ASV 不僅是掃描工具，而是經 PCI Security Standards Council（PCI SSC） 驗證的完整掃描解決方案（program）；其工具、執行團隊、程序與報告流程皆須通過官方測試與稽核。因此，僅有經 PCI SSC 認可的 ASV 掃描報告，才可作為 PCI DSS 合規審核的正式依據，為金融與支付產業所信任。
您適用哪一個 PCI DSS SAQ 類型?
您適用哪一個 PCI DSS SAQ 類型?
PCI DSS Self-Assessment Questionnaire (以下簡稱SAQ) 是用來檢視支付系統合規狀態的自我評估表，適用於特約商店等級 2-4 及服務供應商等級 2。
為了 PCI DSS 規範所設計的問卷，用來評估組織是否符合各項要求，以 Visa 規定為例，特約商店每年度總交易量在600萬筆以下，或服務供應商每年度交易數在30萬筆以下適用。
Table of Contents
PCI DSS SAQ 自我評估五個步驟
-
選擇適用你的 SAQ 類型。
-
確認您的 PCI DSS 環境範圍是否正確。
-
自我評估是否符合 PCI DSS 相關條文要求。
-
填寫 SAQ 文件，包含評估資訊、自評問卷及細節證明。
-
提交 SAQ 的評估結果、Attestation of Compliance (AOC) 文件給提出要求的組織 (收單機構)。
以上，最重要的是，選擇適用你的 SAQ 類型！
以電子商務為例，可能適用以下三種版本：
服務供應商
僅適用 SAQ D for Service Provider 版本，除了包含 SAQ D for Merchant 所要求的項目外，另外增加是否有文件及提供給客戶、政策程序檢查、配置檢查、有無告警、滲透測試紀錄等類型項目，多達 259 個問題。
商店
-
SAQ A
當你的支付系統為完全委外服務供應商 (如，支付頁使用URL Redirect、iFrame方式)。SAQ A需確認內容可分為檢查文件、檢查配置、檢查政策程序、檢查資料的保存與移除、外部弱點掃描報告等，此版本為所有SAQ 版本中最短，只有 29 個問題。
-
SAQ A-EP
當你的支付系統為委外服務供應商處理，且支付頁面為自行建置。SAQ A-EP需確認內容，除了上述 SAQ A 項目之外，另外還增加了網路管理、主機管理、資料安全、弱點管理、存取控制、定期監控及測試網路等的部分，要求項目將會因為現行系統參與了部分的支付服務而有大幅度的增加。
-
SAQ D for Merchant
當你的支付系統為自行建置，或在交易的過程中以電子形式儲存任何持卡人資料時。SAQ D for Merchant 確認內容較上述SAQ A-EP 條文包含更廣，適用 PCI DSS 中 Merchant 所有要求。
PCI DSS SAQ 共有 10 種不同類型，各類型的判斷基準，是依據你所提供支付服務的不同而對應不同類型，通常是透過收單機構告知，或藉由 QSA 協助檢視 CDE (Cardholder Data Environment) 環境、持卡人資料 (如卡號) 的相關作業流程及資料流程等，來準確地判斷適用類型，或先參考下方 PCI DSS SAQ 類型說明 來做簡易判斷。
建議：PCI DSS SAQ 是需要每年定期進行評估及更新，若您尚未具備 PCI DSS 相關知識或需要瞭解更詳細的 SAQ 類型差異，可直接尋求 QSA 或 QSAC 的專業意見，以有效且準確地達成 PCI DSS 合規。