Kryptering och tokenisering är två sätt att skydda känsliga data. Kryptering använder en algoritm och en nyckel för att kryptera data till reversibel chiffertext, så den passar data som måste återställas, både i vila och under överföring. Tokenisering ersätter data med en orelaterad token som lagras i ett valv, vilket håller verkliga data borta från systemen och minskar PCI DSS-omfattningen. Många organisationer använder båda.
Kryptering och tokenisering skyddar båda känsliga data, men på fundamentalt olika sätt. Kryptering omvandlar data till reversibel chiffertext med hjälp av en nyckel, så att den kan dekrypteras senare, perfekt för stora volymer och data under överföring. Tokenisering byter data mot en slumpmässig token utan matematisk koppling till originalet, vilket förvarar de verkliga uppgifterna i ett separat valv. Ingendera är helt enkelt bättre; rätt val beror på användningsfallet, och de två kombineras ofta.
Key Takeaways
- Kryptering är reversibel med en nyckel; tokenisering ersätter data med en orelaterad token som inte har någon matematisk relation till originalet.
- Krypterad data lämnar organisationen i krypterad form; med tokenisering lämnar den verkliga datan aldrig organisationen (den stannar i ett tokenvalv).
- Tokenisering är särskilt effektivt för att minska PCI DSS-omfattningen, eftersom system bara hanterar tokens, inte riktiga kortnummer.
- Kryptering skalas bättre för stora volymer och ostrukturerad data (filer, bilder, video); tokenisering passar strukturerad data som kortnummer och personnummer.
- Ingetdera är universellt bättre. Kryptering passar för data som måste återställas och delas, medan tokenisering passar för att ta bort känslig data från räckvidden. Många organisationer använder båda.
Vad är kryptering?
Kryptering använder en algoritm för att omvandla läsbar klartext till oläslig chiffertext . Den skyddar sekretessen för data oavsett om den lagras på system eller överförs över ett nätverk, och den avsedda mottagaren återställer den genom dekryptering med en hemlig nyckel. Det avgörande draget är att kryptering är reversibel: med rätt nyckel återställs exakt den ursprungliga informationen. Detta gör kryptering väl lämpad för att skydda data som senare måste läsas eller delas, och för att effektivt säkra stora datamängder.
Vad är tokenisering?
Tokenisering ersätter känsliga dataelement (som ett bankkonto eller kreditkortsnummer) med en icke-känslig ersättning som kallas en token , en slumpmässig sträng utan inneboende värde eller betydelse. Till skillnad från krypterad data härleds inte en token från originalet av någon algoritm eller nyckel, så det finns inget matematiskt samband mellan dem, och token kan inte reverseras på egen hand. Istället använder tokenisering en säker databas som kallas ett tokenvalv som mappar varje token till sitt ursprungliga värde, och de verkliga uppgifterna i valvet är i sig skyddade, ofta med kryptering. Tokens behåller längden och formatet på originaluppgifterna, så de passar in i befintliga affärsprocesser, medan de verkliga känsliga uppgifterna lagras separat, utanför organisationens dagliga system.
Ett snabbt förtydligande: ordet "tokenisering" förekommer även inom maskininlärning och naturlig språkbehandling, där det betyder att dela upp text i enheter (tokens) som en modell kan bearbeta. Det är ett annat koncept än den datasäkerhetstokenisering som diskuteras här, som handlar om att ersätta känsliga värden med icke-känsliga ersättningar.
Hur Tokenization fungerar
Tokenisering används ofta av handlare, betalningsleverantörer och banker för att skydda finansiella och personuppgifter. Vid betalningar ersätts till exempel en kunds kortnummer (primärkontonumret, eller PAN) av en token som företaget lagrar och använder i sina system. När en betalning behandlas kan endast det ursprungliga tokeniseringssystemet byta tillbaka token mot det riktiga PAN-numret och skicka det till betalningsleverantören för auktorisering. Företaget registrerar, överför eller lagrar aldrig PAN-numret, bara tokenet, vilket dramatiskt minskar mängden känsliga uppgifter det hanterar.
Kryptering kontra tokenisering: Jämförelse sida vid sida
Båda skyddar data, men deras tillvägagångssätt, räckvidd och bäst lämpade användningsområden skiljer sig åt:
| Kriterier | kryptering | tokenization |
|---|---|---|
| Hur det fungerar | Omvandlar klartext till chiffertext med hjälp av en algoritm och nyckel | Ersätter känsliga data med en slumpmässigt genererad token |
| Reversibel? | Ja, med dekrypteringsnyckeln | Endast via tokenvalvet; ingen nyckel eller algoritm reverserar en token ensam |
| Data som stöds | Strukturerade och ostrukturerade (filer, e-postmeddelanden, bilder, video) | Strukturerad data (kortnummer, personnummer och liknande) |
| Där verkliga data finns | Lämnar organisationen, men i krypterad form | Lämnar aldrig organisationen; stannar i tokenvalvet |
| Format/längd bevarad? | Vanligtvis nej (AES, RSA); undantaget är FPE | Ja, tokens behåller originalformatet och längden |
| Utbyte av data | Kan delas med alla som har nyckeln | Svår att dela; kräver direktåtkomst till tokenvalvet |
| Huvudsakligt användningsfall | Sekretess för data i vila och under överföring, i stor skala | Minska PCI DSS-omfattningen genom att hålla verkliga data borta från systemen |
Så, vilket är bättre: kryptering eller tokenisering?
Ingetdera är universellt bättre; rätt val beror på dina data och mål: Välj TOKENIZATION när din prioritet är att hålla känsliga data (särskilt betalkortsdata) helt borta från dina system och minska PCI DSS efterlevnadsomfattning. Eftersom verkliga data aldrig berör din miljö är tokenisering kraftfullt för strukturerad data som kortnummer och personnummer i betalnings- och lagringsarbetsflöden. Välj KRYPTERING när du behöver skydda stora datamängder eller ostrukturerad data (filer, bilder, video), när data måste återställas eller delas med en nyckelmottagare och när du behöver säkra data under överföring. Kryptering skalas effektivt eftersom du bara behöver hantera nycklar, inte ett valv som mappar varje värde. I praktiken använder många organisationer BÅDE: tokenisering för att dra kortdata ur omfattningen och kryptering för att skydda allt annat och för att säkra själva tokenvalvet. De är kompletterande verktyg och båda hjälper till att uppfylla regler som PCI DSS, HIPAA-HITECH, GLBA och GDPR.
När man ska överväga kryptering
Kryptering applicerar ett skyddande lager på stora mängder data utan att sakta ner överföring eller åtkomst, och för många allmänna dataskyddsbehov erbjuder den den bästa blandningen av praktisk användning och säkerhet. Den är särskilt lämplig för:
- Ostrukturerad data eller data med hög volym: Där du överför eller lagrar stora mängder data, såsom bilder eller video, eller data som saknar den struktur (ID-nummer, kortuppgifter) som behövs för tokenassociation, ger kryptering ett effektivt skydd utan höga kostnader.
- Varierande efterlevnadsbehov: Vissa data behöver starkast möjliga skydd för att uppfylla PCI DSS eller HIPAA, medan andra datamängder bara behöver adekvat skydd. Där risken är lägre är kryptering ett kostnadseffektivt och praktiskt val.
Hur krypteringskonsulting hjälper
Att välja mellan kryptering, tokenisering och andra kontroller, och implementera dem väl, är precis vad Encryption Consultings krypteringsrådgivningstjänster levererar. Vi genomför en datakrypteringsbedömning för att identifiera era viktigaste risker, förstå er kapacitetsmognad och hitta luckor, och utvecklar sedan en dataskyddsstrategi och färdplan som täcker var kryptering, tokenisering och sund nyckelhantering ska tillämpas, i linje med standarder som PCI DSS, HIPAA och GDPR, och implementerad från början till slut. Stöds av ISO/IEC 27001:2022 och SOC 2-certifierade metoder.
Vanliga frågor om partihandel med mat och dryck
Vad är skillnaden mellan kryptering och tokenisering?
Kryptering använder en algoritm och en nyckel för att omvandla data till reversibel chiffertext, så att originalet kan återställas med nyckeln, och den fungerar på både strukturerad och ostrukturerad data i stor skala. Tokenisering ersätter känsliga data med en slumpmässig token som inte har någon matematisk relation till originalet; det verkliga värdet förvaras i ett separat tokenvalv, och tokenen kan inte reverseras på egen hand. Kryptering skyddar data som måste återställas eller delas; tokenisering håller verkliga data borta från system och minskar efterlevnadsområdet.
Vilket är bättre för datasäkerhet, kryptering eller tokenisering?
Ingetdera är universellt bättre; det beror på användningsfallet. Tokenisering är bättre när du vill hålla känsliga data, särskilt betalkortsdata, helt borta från dina system och minska PCI DSS-omfattningen, och det fungerar bra för strukturerad data. Kryptering är bättre för stora datamängder, ostrukturerad data som filer och video, och data som måste återställas eller delas med en nyckelmottagare. Många organisationer använder både tokenisering för att ta bort kortdata från omfattningen och kryptering för att skydda allt annat.
Är tokenisering reversibel?
En token i sig är inte reversibel: det finns ingen nyckel eller algoritm som kan härleda det ursprungliga värdet från token, eftersom de två inte har något matematiskt samband. Originaldata kan bara hämtas genom att slå upp den i tokenvalvet, den säkra databasen som mappar varje token till dess verkliga värde. Detta är en viktig skillnad från kryptering, där chiffertexten matematiskt härleds från klartexten och kan dekrypteras med rätt nyckel.
Minskar tokenisering PCI DSS omfattning?
Ja, det är en av dess största fördelar. Med tokenisering lagrar och bearbetar dina system endast tokens, aldrig det verkliga primära kontonumret (PAN). Eftersom de faktiska kortuppgifterna aldrig matas in i eller finns i din miljö, kan system som endast hanterar tokens falla utanför en stor del av PCI DSS-bedömningens omfattning, vilket minskar efterlevnadsbördan och kostnaderna. De verkliga kortuppgifterna finns i ett separat, säkert tokenvalv, vanligtvis hanterat av en betalningsleverantör eller ett dedikerat tokeniseringssystem.
Kan man använda kryptering och tokenisering tillsammans?
Ja, och många organisationer gör det. De kompletterar varandra. Tokenisering tar bort känsliga data som kortnummer från era system och minskar PCI DSS-omfattningen, medan kryptering skyddar stora datamängder, ostrukturerad data och data under överföring, och säkrar själva tokenvalvet. Genom att använda båda kan du hålla data med högst risk utanför tokeniseringens omfattning samtidigt som du skyddar allt annat med kryptering. Båda metoderna hjälper också till att uppfylla regler som PCI DSS, HIPAA, GLBA och GDPR.
Vilken typ av data är tokenisering bäst för?
Tokenisering passar bäst för strukturerad data med ett enhetligt format, såsom kreditkortsnummer (PAN), bankkontonummer och personnummer, vilket är anledningen till att det är så vanligt vid betalningar. Eftersom tokens bevarar originalets längd och format integreras de smidigt i befintliga databaser och affärsprocesser. Det är mindre lämpligt för stora ostrukturerade data som filer, bilder eller video, där kryptering är det mer praktiska och kostnadseffektiva valet.
Bygg rätt dataskyddsstrategi
Att välja rätt blandning av kryptering och tokenisering för era data- och efterlevnadsbehov är det som håller känsliga data både säkra och användbara. Utforska Encryption Consultings krypteringsrådgivningstjänster för att bedöma ert dataskydd och bygga en strategi och färdplan som passar er organisation.