A lo largo del día, los clientes utilizan tarjetas de pago para realizar transacciones, y estas deben realizarse en un entorno seguro. Los datos utilizados en una transacción con un cliente son extremadamente valiosos para los atacantes, por lo que estas transacciones se convierten en blanco de ataques externos. Según PCI DSS Cumplimiento, los datos del titular de la tarjeta deben mantenerse seguros, lo que se puede lograr mediante la tokenización. Tokenization Es el proceso de reemplazar datos sensibles por datos no sensibles. Por ejemplo: si un cliente va a pagar con tarjeta, el número de la tarjeta no debe ser legible. Si el número de la tarjeta es xxxyyyzzzz, la tokenización lo cambiaría a apxcladajedpo9iiuwqdw.
Tipos
Hay dos opciones para elegir entre tokenizar información: tokenización con bóveda y sin bóveda.
Tokenización de bóveda: En la tokenización de bóvedas, mantenemos una base de datos segura, denominada base de datos de bóveda de tokenización, donde almacenamos los datos sensibles y sus correspondientes datos no sensibles. Esta tabla de datos sensibles y no sensibles se puede utilizar para destokenizar los datos recién tokenizados.
La destokenización es el proceso inverso de la tokenización: recuperamos nuestros datos originales de los tokenizados en la bóveda. En otras palabras, reemplazamos los datos no confidenciales con datos confidenciales para obtener los datos originales.
Cómo funciona la tokenización de Vault:
1. La organización pasa sus datos confidenciales al servidor de tokenización de la bóveda.
2. El servidor de tokenización de la bóveda convierte los datos originales en datos no confidenciales y guarda su asignación en la base de datos de la bóveda.
3. Y los datos no sensibles se envían luego de vuelta a la organización.
Nota: – La organización siempre guarda datos no confidenciales.
4. Para cumplir con PCI DSS, es necesario el control de acceso. Por lo tanto, siempre que se requieran datos originales, la aplicación autorizada de la organización obtiene los datos no confidenciales de la organización.
5. La aplicación pasa la información no confidencial al servidor de tokenización de la bóveda, que la convierte en datos originales, con la ayuda de la base de datos de la bóveda.
6. La organización autorizó la aplicación ahora tiene los datos originales.
Desventajas de la tokenización de Vault: – A medida que aumentan los datos, aumenta el tamaño de la base de datos de la bóveda, lo que a su vez incrementa el tiempo de procesamiento de la destokenización. Esto también agiliza el proceso de implementación de la destokenización.
Para superar las desventajas de la tokenización de bóveda, entra en juego la tokenización sin bóveda.
Tokenización sin bóveda es más eficiente y más seguro que la tokenización de bóveda, ya que no mantiene una base de datos, sino que utiliza dispositivos criptográficos seguros.
Los dispositivos criptográficos seguros utilizan algoritmos basados en estándares para convertir datos sensibles en no sensibles o generar tokens. Para la destokenización, estos tokens pueden utilizarse para generar datos originales sin necesidad de una base de datos de bóveda de tokenización.
Conclusión
Conforme con PCI DSS Los estándares requieren medidas robustas como la tokenización, que reemplaza datos sensibles con equivalentes no sensibles. Mientras que la tokenización en bóveda implica almacenar datos y tokens correspondientes en una base de datos segura, la tokenización sin bóveda ofrece una alternativa más eficiente y segura, ya que utiliza dispositivos criptográficos sin necesidad de una base de datos de bóveda de tokenización. A medida que las organizaciones priorizan la seguridad de los datos, la implementación de métodos de tokenización garantiza la protección de la información sensible en las transacciones con tarjetas de pago.
Con un fuerte enfoque en Servicios de asesoramiento sobre cifrado Con décadas de experiencia en consultoría, Encryption Consulting ofrece una gama de soluciones criptográficas. Entre ellas, PKI como servicio (PKIaaS) Se destaca por brindar soporte 24/7 a sus clientes ante cualquier problema relacionado con su entorno PKI. Este enfoque integral mejora la seguridad, garantizando que las organizaciones mantengan su resiliencia ante posibles errores de configuración en sus sistemas de cifrado.