Cards
Какво е Токенизация?
Заместване на чувствителни данни за карта с нечувствителна заместваща стойност, която може да бъде съхранявана и използвана повторно без обхват на PCI.
Токенизацията е основен процес за сигурност на данните, който замества чувствителен елемент от данни, като 16-цифрен основен номер на сметка (PAN), с нечувствителен еквивалент, известен като „токен“.
Този токен няма външна или използваема стойност; той е просто препратка към оригиналните данни, които се съхраняват сигурно в съвместима с PCI DSS среда, наречена трезор.
Чрез използване на токени за иницииране на плащания, търговците могат да избегнат обработката и съхраняването на необработени данни за картодържатели в собствените си системи.
Това драстично намалява обхвата на тяхното съответствие с PCI DSS, намалява риска, свързан с пробив на данни, и премахва опасна информация от тяхната среда.
Има два основни типа токенизация. Първият е токенизация на шлюз (или PSP), където доставчикът на плащания създава патентован токен, който може да се използва само в рамките на собствената му екосистема за обработка.
Това е ефективно за сигурност, но може да доведе до заключване на доставчика. Втората, по-усъвършенствана форма е мрежовата токенизация.
Тук самите картови схеми (Visa, Mastercard) издават токена. Тези мрежови токени са оперативно съвместими между различни доставчици на плащания и, което е от решаващо значение, се актуализират автоматично от издаващата банка, когато физическата карта на клиента бъде заменена или изтече.
Тази устойчивост е ключово предимство, пряко подобряващо нивата на оторизация за повтарящи се транзакции и транзакции с карта на файл. Често срещано погрешно схващане е, че токенизацията е същото като криптирането.
Криптирането използва ключ за разбъркване на данни и може да бъде обърнато със същия ключ, докато правилно токенизирана стойност не може да бъде обратно проектирана до оригиналния PAN.
Практически пример
Клиент прави покупка от £75 в уебсайт за електронна търговия за първи път. При плащане той въвежда данните на картата си.
Платежният шлюз на търговеца използва токенизация. Необработените данни за картата се изпращат директно до защитения трезор на шлюза, без изобщо да докосват сървъра на търговеца.
Трезорът на шлюза отговаря с токен, например `gtwy_tok_123abc`, който търговецът съхранява срещу сметката на клиента за бъдеща употреба. Месец по-късно клиентът се връща.
Той вижда своята „Запазена карта, завършваща на 4242“ и избира да плати с нея. Сайтът на търговеца изпраща токена `gtwy_tok_123abc` и новата сума на покупката до шлюза.
Шлюзът извлича истинския номер на картата от своя трезор и обработва плащането. Търговецът улесни бързо и удобно плащане, без изобщо да съхранява рисковия PAN.
Бележки на картовите схеми
Докато общата концепция за токенизация не е специфична за схемата, най-усъвършенстваната форма, мрежовата токенизация, се управлява директно от схемите. VTS на Visa (Visa Token Service) и MDES на Mastercard (Mastercard Digital Enablement Service) са двете най-големи платформи за създаване и управление на мрежови токени.
Те работят с издатели за предоставяне на токени и поддържането им синхронизирани с основните данни за картата. Използването на мрежови токени понякога може да доведе до по-ниски междубанкови такси, тъй като схемите разглеждат тези транзакции като по-сигурни поради включването на динамична криптограма.
За разлика от това, токените на шлюза са собственост на PSP, който ги е създал, и не предлагат преки ползи от междубанкови такси, въпреки че остават основен инструмент за намаляване на обхвата на PCI DSS.
Защо е важно за търговците
За търговците токенизацията не е по избор; тя е съществен компонент на съвременната обработка на плащания. Основното въздействие е значително намаляване на тежестта за съответствие с PCI DSS, спестявайки време, пари и ресурси, които иначе биха били изразходвани за строги контроли за сигурност и одити.
Тя е и критична мярка за сигурност срещу пробиви на данни. Чрез използване на мрежова токенизация, търговците могат също така пряко да подобрят крайния си резултат.
Автоматичните актуализации на карти, предоставени от мрежови токени, увеличават нивата на оторизация за транзакции с карта на файл, намалявайки неволното отпадане и запазвайки потоците от приходи, функция, особено ценна за абонаментни бизнеси.
Използването на PSP като Cardflo, който поддържа множество типове токени, дава на търговците сигурност и гъвкавост за оптимизиране на маршрутизирането на плащанията си.
Често задавани
Как токенизацията се различава от криптирането в платежна среда?
Криптирането използва алгоритъм за скриване на данни, които могат да бъдат декриптирани с ключ, докато токенизацията замества данните изцяло с нематематически заместител.
Това означава, че ако база данни с токени бъде пробита, стойностите са безполезни за нападател, тъй като те не могат да бъдат обърнати, за да разкрият оригиналния PAN без достъп до защитения трезор за токени.
Какво е основното предимство от използването на мрежови токени пред специфични за шлюза токени?
Мрежовите токени предлагат по-голяма преносимост и дълготрайност, тъй като са разпознаваеми в цялата платежна екосистема, вместо да са обвързани с един доставчик на платежни услуги.
Те се актуализират автоматично, когато банка издаде нова карта, намалявайки вероятността от откази на транзакции поради остарели данни за картата и гарантирайки, че търговецът може да поддържа безпроблемен цикъл на повтарящо се таксуване.
Каква е разликата между токенизация и криптиране?
Криптирането е двупосочен процес, който използва математически алгоритъм и ключ за разбъркване на данни. Всеки с ключа може да декриптира данните обратно до първоначалния им вид.
Токенизацията е еднопосочен процес, при който чувствителните данни се заменят с нечувствителен токен. Няма математическа връзка между токена и оригиналните данни, което означава, че той не може да бъде обърнат.
Това прави токенизацията по-сигурен метод за защита на съхраняваните платежни данни.
Ако използвам токенизация, все още ли съм в обхвата на PCI DSS?
Използването на токенизация чрез сертифициран доставчик на трета страна драстично намалява обхвата на вашия PCI DSS, но не го елиминира напълно. Все още се изисква да валидирате съответствието си ежегодно, обикновено чрез попълване на най-простия въпросник за самооценка (SAQ A).
Това потвърждава, че не съхранявате, обработвате или предавате никакви данни за картодържатели и разчитате на съвместим доставчик на услуги.
Мога ли да токенизирам други методи за плащане освен кредитни карти?
Да. Въпреки че най-често се свързва с картови плащания, принципът на токенизация може да се приложи и към други платежни инструменти.
Например, номерата на банкови сметки, използвани за схеми за директен дебит (като SEPA или ACH), могат да бъдат токенизирани, за да позволят на търговците да инициират бъдещи плащания, без да съхраняват действителните банкови данни. Това осигурява подобна полза за сигурността и съответствието.
Какво се случва с моите токени, ако искам да сменя доставчика си на плащания?
Ако използвате патентовани токени на шлюза, смяната на доставчици изисква сигурен процес на миграция на токени. Това включва вашия стар доставчик да прехвърли съхранените данни за картата на вашия нов доставчик, който след това ще ги токенизира отново.
Това може да бъде сложно и може да включва такси. Ако използвате мрежови токени, те са преносими и можете просто да започнете да ги обработвате чрез нов доставчик, който също е свързан с услугата за токени на схемата.
Предотвратява ли токенизацията измамите?
Токенизацията е преди всичко инструмент за защита на съхраняваните данни и предотвратяване на компрометирането им при пробив на данни. Тя не предотвратява измами с транзакции, като например някой, който използва откраднати данни за карта, за да направи покупка.
Въпреки това, мрежовата токенизация добавя слой на сигурност чрез използването на криптограма, специфична за транзакцията, което прави транзакциите по-сигурни и помага на издателите да одобряват повече легитимни плащания.
See how Токенизация plays out in practice
Industries and regions where this term drives real acquiring, routing, or dispute decisions.
Свързани термини
Съвместимо с PCI DSS хранилище на токенизирани данни за карти, което позволява на търговеца да таксува карта отново, без да съхранява PAN.
Токен, издаден от схема, който замества PAN от край до край и се актуализира автоматично, когато основната карта бъде преиздадена.
Стандарт за сигурност на данните в индустрията за платежни карти, рамката, наложена от схемата за обработка на данни на картодържатели.
Технически слой, който криптира данните на картата, препраща заявки за оторизация към приобретател и връща резултата на търговеца.
Свързани ръководства.
Готови ли сте да подобрите настройките за плащанията си?
Разкажете ни за вашия бизнес. Ние ще ви свържем с правилните банки акцептанти и правилния маршрут, обикновено в рамките на една седмица.