021-54410609
当公司考虑在自己的数据中心或云中保护敏感数据时，最有可能将加密视为混淆真实数据的手段。令牌化是保护数据的另一种方法，该过程具有独特的属性，可以帮助公司满足加密无法解决的要求。在某些情况下，令牌化可以替代加密，或者可以作为与加密一起使用的补充解决方案，以提供非常高级别的数据保护。
令牌化是用称为令牌的随机替代数据替换真实数据（例如信用卡号或社会保险号）的过程。与加密不同，没有算法可以有条不紊地生成令牌。相反，令牌是无意义的随机字符，并且不能通过任何数学方法转换回真实数据值。在大多数情况下，该过程使用称为保管库的索引表来跟踪实际值与其对应令牌之间的关系。令牌一旦生成，便可以在许多类型的应用程序中代替真实数据。如果需要实际值，则授权的应用程序可以进入保管库并通过提供令牌来检索数据值。
用于令牌化
迄今为止，令牌化的最常见用途是在电子支付行业中，以在授权付款后保护贷方和借方主要帐号（PAN）。PCI DSS要求保护这些数据，而令牌化是使交易数据不敏感的理想方法，以便商人可以分析客户的购买历史。
现在，令牌化是一种针对企业应用程序的新兴技术，特别是那些将数据存储在云中的应用程序。在许多情况下，用于令牌化而不是加密数据的关键驱动因素是满足数据驻留要求。一些政府实体（例如德国和瑞士）要求与这些司法管辖区居民有关的数据保留在该地区的实际边界内。加密通常不满足此要求，但是如果令牌库物理上位于所需区域中，则令牌化就可以。当令牌进入云应用程序时，可以对真实数据进行令牌化并将其存储在本地。
企业越来越多地将令牌化作为保护个人身份信息（PII），受保护的健康信息（PHI）和敏感客户帐户信息的一种选择。
令牌化解决方案
作为一项技术，令牌化相对较新-大约只有五年的历史。尽管如此，当今市场上有许多解决方案，并且该技术正在迅速发展以解决诸如保留数据格式和应用程序功能之类的问题。稍后再详细说明。
令牌化解决方案通常以云中的硬件或软件设备或网关的形式出现。解决方案可以在公司数据中心内部托管，也可以由第三方供应商或云提供商托管。大多数（但不是全部）解决方案都使用安全的保管库来存储数据。（现在市场上至少有一种无库令牌化解决方案。）
如果公司选择内部托管令牌化解决方案，则必须回答一些关键问题：
既然保管库保存着所有敏感数据，我们将如何保护它？
如果我们对库中的真实数据进行加密（这是典型的），那么我们的密钥管理策略是什么？
哪些人和/或应用程序将有权访问保管库以存储和检索令牌，我们将如何跟踪其活动？
如果公司允许第三方托管令牌化解决方案，则存在类似的考虑因素：
我们的供应商如何保护资料库？
供应商是否可以明码访问真实数据？
实际数据（包括所有备份和复制实例）物理存储在哪里？
可能需要对这些问题有完整的答案，以满足内部和外部策略以及合规性要求。
在应用程序中使用令牌
关于令牌如何在企业应用程序中使用以及应该如何使用，有许多考虑。
一些令牌化解决方案已经预先集成到各种应用程序中，尤其是Salesforce.com，SAP和其他CRM应用程序。根据所选的令牌化解决方案，可能需要与应用程序集成。某些解决方案与应用程序无关，可与任何企业应用程序一起使用。
最好限制应用程序中令牌化的字段的数量。通常，如果出于任何原因需要将令牌转换为真实数据，则包含令牌数据的字段越多，应用程序的性能就会越慢。可以在同一应用程序中标记一个或两个字段并加密其他字段。
许多令牌化解决方案都具有生成格式保留令牌的能力，以帮助应用程序的各个方面。例如，当标记信用卡PAN时，标记值应具有与真实卡号相同的位数。这样可确保令牌可以轻松替换辅助后授权应用程序中的真实卡号，例如业务分析或忠诚度营销，而无需对应用程序进行大量修改。
许多企业应用程序需要执行关键功能，例如对公司可能希望标记的字段进行排序和搜索，例如，患者的社会保险号。根据定义，令牌是随机值，这使排序和搜索功能无用。一些令牌化供应商已经找到解决此难题的方法，因此，重要的是要问该解决方案如何保留应用程序的特性和功能，以及解决方法是否以任何方式削弱了混淆技术。与加密不同，令牌化过程没有全球公认的标准，因此要求供应商彻底解释其解决方案的工作非常重要。
令牌化或加密，或两者兼而有之？
尽管它们执行类似的功能，但令牌化和加密并不是竞争技术。在许多情况下，它们是有助于公司实现许多数据混淆目标的补充。例如，令牌化可以帮助满足数据驻留要求，而加密可以帮助满足数据隐私要求。
公司应与潜在的解决方案供应商讨论所有要求，并选择最能满足其业务需求的混淆技术。
揽阁信息可提供的部分安全产品和解决方案信息
联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：
-
数据库访问控制：揽阁LGPAC系统
-
通用HSM：Luna HSM、ProtectServer HSM
-
支付HSM：payShield 10K
您还可以得到揽阁信息所提供的优质服务。
揽阁信息 · 值得您信赖的信息安全顾问！
联系我们
免费试用留言
客服电话