发布日期：2025-01-05 浏览次数：
网络威胁正在迅速发展，违规行为也日益增多。对于处理敏感支付卡数据的组织而言，遵守支付卡行业数据安全标准 (PCI DSS) 变得越来越重要。该框架的一个关键方面是保护静态数据 - 但要求正在发生变化。磁盘或分区级加密不再适用于保护不可移动电子媒体。
那么，遵守规定的组织应该怎么做呢？在他们可用的选项中，标记化（Tokenization）胜过透明数据加密 (TDE)，原因有几个。
PCI DSS 要求 3.5.1.2专门解决了磁盘加密的限制。它指出：
“如果使用磁盘级或分区级加密（而不是文件、列或字段级数据库加密）使 PAN 不可读，则只能按如下方式实现：
在可移动电子媒体上
或者
（来源：PCI DSS）
简而言之，磁盘级或分区级加密已不足以保护存储在不可移动介质上的 PAN。
那么标记化和 TDE 之间的主要区别是什么？
TDE用于在存储级别加密数据库文件。它会加密整个数据库，包括备份和事务日志，使未经授权的用户无法读取它们。虽然 TDE 提供了一层安全性，但它对应用程序来说是透明的，这意味着授权用户和应用程序可以无缝访问和解密数据。
标记化是一种将敏感数据元素（例如信用卡号）替换为非敏感数据元素（称为标记）的过程。标记没有可利用的价值，与原始数据也没有有意义的关系。当需要原始数据时，授权应用程序可以请求明文元素。
有两种标记化方法 - 保险库标记化和无保险库标记化。在数据安全方面，与无保险库标记化相比，保险库标记化（将敏感数据存储在安全数据库（保险库）中）被认为已经过时。后者通过使用确定性算法或加密函数直接将敏感数据替换为唯一标记，消除了对中央存储系统的需求。
请考虑以下几点：
增强数据安全性/降低违规风险
由于令牌不是从原始数据派生而来的，也没有内在含义，因此对攻击者来说毫无用处。即使恶意行为者获得了令牌，他们也无法对其进行逆向工程以检索原始数据，因为他们无法访问确定性算法或加密函数。但是使用 TDE，如果攻击者获得数据库服务器和加密密钥的访问权限，他们就有可能解密并访问所有存储的数据。
更高效的安全管理
TDE 从数据库服务器继承用户权限，这意味着它在存储级别加密数据，但依赖现有的数据库管理系统 (DBMS) 角色来控制访问。因此，对加密数据的访问由 DBMS 中设置的相同用户角色和权限控制。
但是，标记化并不依赖于 DBMS 角色和权限。相反，它使用中央访问系统来实现更好、更细粒度的访问控制。这提供了更一致、更高效的安全管理，并降低了配置错误的风险。
最小化合规范围和成本
通过标记化，存储、处理或传输持卡人数据的区域被最小化——因为令牌不包含任何敏感信息，并且标记化引擎与数据库和应用程序服务器隔离。这可以降低合规成本和所需的控制数量，并简化审计。但是，TDE 无法缩小范围，因为它是在数据库服务器上实现的，可以解密数据，因此从技术上讲可以访问数据。
以数据为中心的安全性，提供端到端保护
虽然 TDE 会加密特定数据库中的静态数据，但它并不涵盖正在使用或传输的数据。另一方面，标记化可保护敏感数据在所有状态下以及流向何处，从而确保即使数据在处理过程中被拦截，也只会暴露标记。只有在绝对必要时，才会向授权用户公开明文数据。它还保留了业务工作流和应用程序的数据实用性，从而支持运营效率和创新。
对于希望遵守 PCI DSS 要求的组织来说，标记化是一种更强大、更可持续的解决方案。它不仅符合标准的安全要求，而且还提供增强的攻击防护、减少合规范围和成本，并最大限度地降低数据泄露风险。这反过来又降低了因不合规而遭受高昂处罚的风险，并有助于建立客户信任。
基于合作伙伴关系，揽阁信息提供 Thales 的 CDSP 产品，可提供全方位的数据保护。CipherTrust Tokenization 大大降低了遵守安全政策和监管要求（如 PCI DSS）所需的成本和工作量，同时还可以轻松保护其他敏感数据，包括个人身份信息 (PII)。虽然业内没有Tokenization标准，但大多数Tokenization解决方案都属于以下两种架构之一：无保险库Tokenization或保险库Tokenization，两者都保护敏感资产并使其匿名化。Tokenization软件可以驻留在数据中心、大数据环境或云中。
点击此处，查看《CipherTrust Tokenization/令牌化/标记化/数据脱敏》产品介绍。您也可以联系揽阁信息，获取更多信息。
揽阁信息 · 值得您信赖的信息安全顾问！
服务热线
