Токенизация
Токенизация — это процесс преобразования объектов, данных или активов в цифровые эквиваленты (токены) для безопасного хранения или обработки. В зависимости от контекста может означать замену конфиденциальных данных (например, номера карты) на случайный набор символов или представление реальных активов в виде цифровых токенов в блокчейне.
Токенизация — это процесс преобразования чувствительных данных или реальных активов в цифровые эквиваленты, называемые токенами. В зависимости от области применения термин описывает два самостоятельных механизма: замену конфиденциальных реквизитов платежа на случайные значения для безопасной обработки и представление реальных активов либо имущественных прав в виде цифровых токенов в распределённых реестрах.
Токенизация в информационной безопасности
В платёжной инфраструктуре токенизация обеспечивает замену номера банковской карты на беззначимый для злоумышленника токен, который используется при проведении операций без передачи оригинальных реквизитов во внешний контур. Реальные данные сохраняются в защищённом хранилище токенов с контролем доступа и журналированием, а обратная операция выполнятся только в доверенной среде. Применение токенизации сокращает область соответствия требованиям стандарта PCI DSS и снижает последствия утечки данных из прикладных систем и шлюзов.
Токенизация активов в блокчейне
В сфере распределённых реестров токенизация означает выпуск цифровых токенов, удостоверяющих права на активы либо расчётные единицы протокола. Выпуск токенов выполняется на базе смарт-контрактов, что обеспечивает прозрачность обращения и программно контролируемые условия эмиссии. В российском правовом поле цифровые финансовые активы регулируются отдельным законодательством, устанавливающим требования к операторам информационных систем и порядку учёта прав.
Внедрение в платёжную архитектуру
Развёртывание токенизации в действующей платёжной архитектуре включает инвентаризацию данных и мест их обработки, проектирование защищённого хранилища токенов, регламентацию выпуска, ротации и отзыва токенов, а также интеграцию с платёжным шлюзом, эквайрингом и сервисами регулярных списаний. Подготовка и внедрение таких изменений выполняются в рамках проектирования и разработки автоматизированных систем.
Использование токенизации позволяет организациям достичь целевого баланса между удобством клиентских сервисов и уровнем защищённости данных, сокращая риски обработки чувствительной информации и объём требований к её защите.
Связанные темы:
Блокчейн
Часто задаваемые вопросы
Какие области применения токенизации актуальны в финансовой инфраструктуре?
В платёжной сфере токенизация заменяет первичный номер карты на случайный идентификатор, который не имеет смысла вне доверенной системы, что снижает объём данных, подпадающих под требования PCI DSS. Параллельно растёт использование токенов для представления активов и прав в распределённых реестрах.
Выбор области определяет модель управления: платёжные токены обрабатываются в защищённом платёжном контуре, а токены активов — в блокчейне со смарт-контрактами, фиксирующими условия обращения.
В чём принципиальное отличие токенизации от хеширования и когда применять каждую из техник?
Хеширование преобразует данные в значение фиксированной длины детерминированно, не позволяя восстановить оригинал, но позволяя сопоставить одинаковые значения. Токенизация же присваивает случайный токен и хранит привязку к исходному значению в защищённом хранилище с возможностью обратной замены.
Если нужна проверка соответствия без раскрытия данных, применимо хеширование; если требуется безопасная замена данных в процессах платежей с последующей обратной заменой — используют токенизацию.
Как токенизация сокращает область соответствия PCI DSS в платёжных сервисах?
Когда номер карты заменяется токеном на раннем этапе обработки и исходное значение не передаётся в принимающие системы, данные карт исчезают из критичных компонентов. Объём средств, попадающих в контур оценки, сокращается до защищённого хранилища токенов.
Стандарт позволяет выводить токенизированные данные из области оценки соответствия и упрощать проверки, оставляя под усиленным контролем только хранилище токенов в составе платёжного контура.
Какие требования предъявляются к защите хранилища токенов и управлению их жизненным циклом?
Хранилище токенов размещается в изолированном контуре с многофакторным доступом, журналированием операций и контролем целостности базовых данных. Создание токенов, их деактивация и обратная замена регламентируются, а сроки действия связываются с операционными параметрами платежей.
Резервное копирование хранилища выполняется с контролем доступа и согласуется с политиками восстановления, что критично для непрерывности приёма платежей при сбоях.
Как выполняются платежи с использованием токена и что происходит при регулярных списаниях по подпискам?
При оплате подписки платёжный сервис получает токен вместо номера карты и инициирует регулярные списания по защищённому каналу без повторного запроса данных карты. Смена карты клиента обрабатывается через обновление токена у эмитента.
Контроль и реестр списаний ведутся в биллинге, а истории операций сохраняются, что позволяет восстанавливать выставление счетов без восстановления исходных данных карт.
Какие этапы включает внедрение токенизации в существующую платёжную архитектуру?
Внедрение начинается с инвентаризации точек использования данных карт, выбора провайдера либо построения собственного сервиса токенизации и определения границ, выводимых из области соответствия. Затем выполняется интеграция с платёжным шлюзом и кассовыми приложениями с проведением приёмочных испытаний в песочнице.
После опытной эксплуатации оформляются регламенты управления токенами, аттестуются затронутые контуры по итогам проектных работ и решение переводится в промышленную эксплуатацию с мониторингом операций.
Другие термины в категории «Информационная безопасность»
Была ли эта информация полезной?
Защитите свою сеть уже сегодня
Оставьте заявку — наши специалисты по информационной безопасности помогут выбрать, настроить и интегрировать токенизация в вашу инфраструктуру. Защитим ваши данные от угроз.