säkerhetstokenisering

Säkerhetstokenisering är en metod för att skydda känsliga uppgifter genom att ersätta dem med icke-känsliga surrogattoken. Tokenet har ingen meningsfull information i sig och kan endast avkodas i ett säkert tokenvalv där en koppling mellan token och den verkliga uppgiften finns. Tillgång till valvet styrs hårt med behörighet, autentisering och övervakning.

Så här fungerar det: när data behövs byts den ut mot ett token av tokeniseringstjänsten. Den verkliga uppgiften lagras säkert i valvet, ofta skyddat av en hårdvarubaserad säkerhetsmodul (HSM). Tokens används i operativa system och affärsprocesser medan originaluppgifterna behålls i valvet och hämtas endast av auktoriserade applikationer vid behov.

Användningsområden inkluderar betalningar (kreditkortsnummer tokeniseras för att minska PCI DSS-omfånget), sjukvård (PHI-säkerhet) samt e-handel och lojalitetsprogram. Fördelarna är minskat exponering av känsliga uppgifter, enklare efterlevnad av regler och minskat skadligt värde vid dataintrång eftersom riktiga data inte sprids mellan system.

Begränsningar: tokenisering ersätter inte kryptering och kräver noggrann nyckelhantering samt integrationer till valv. Det kan medföra drift- och kostnadsökningar och potentiell beroende av en leverantör. Prestanda och dataportabilitet mellan system kan påverkas, särskilt i komplexa miljöer.

Governance och säkerhet: organisationer bör ha policyer för livscykelhantering av tokens, behörighetshantering, loggning och incidentrespons samt regelbunden revision. Nyckel- och valvskydd är centrala, ofta med HSM. Tokenisering underlättar efterlevnad av regler som PCI DSS och dataskyddslagstiftning.