Co je Tokenizace?
Nahrazení citlivých karetních dat nesenzitivní náhradní hodnotou, kterou lze uložit a znovu použít bez rozsahu PCI.
Tokenizace je základní proces zabezpečení dat, který nahrazuje citlivý datový prvek, jako je 16místné číslo primárního účtu (PAN), nesenzitivním ekvivalentem známým jako „token“.
Tento token nemá žádnou vnější ani zneužitelnou hodnotu; je to jednoduše odkaz na původní data, která jsou bezpečně uložena v prostředí kompatibilním s PCI DSS nazývaném trezor.
Používáním tokenů k zahájení plateb se obchodníci mohou vyhnout manipulaci a ukládání nezpracovaných dat držitelů karet ve svých vlastních systémech. To dramaticky snižuje rozsah jejich souladu s PCI DSS, zmírňuje riziko spojené s narušením dat a odstraňuje nebezpečné informace z jejich prostředí.
Existují dva hlavní typy tokenizace. První je tokenizace brány (nebo PSP), kde poskytovatel plateb vytváří proprietární token, který lze použít pouze v rámci jeho vlastního zpracovatelského ekosystému.
To je účinné pro zabezpečení, ale může vést k závislosti na dodavateli. Druhou, pokročilejší formou je síťová tokenizace.
Zde samotná karetní schémata (Visa, Mastercard) vydávají token. Tyto síťové tokeny jsou interoperabilní napříč různými poskytovateli plateb a, což je klíčové, jsou automaticky aktualizovány vydávající bankou, když je fyzická karta zákazníka nahrazena nebo vyprší.
Tato perzistence je klíčovou výhodou, přímo zlepšuje míru autorizace pro opakované transakce a transakce s kartou v souboru. Běžnou mylnou představou je, že tokenizace je totéž jako šifrování.
Šifrování používá klíč k zakódování dat a lze jej stejným klíčem zvrátit, zatímco správně tokenizovanou hodnotu nelze zpětně dešifrovat na původní PAN.
Praktický příklad
Zákazník poprvé nakoupí za 75 GBP na e-commerce webu. Při placení zadá údaje o své kartě.
Platební brána obchodníka používá tokenizaci. Nezpracovaná data karty jsou odeslána přímo do zabezpečeného trezoru brány, nikdy se nedotknou serveru obchodníka.
Trezor brány odpoví tokenem, například `gtwy_tok_123abc`, který obchodník uloží k účtu zákazníka pro budoucí použití. O měsíc později se zákazník vrátí.
Vidí svou „Uloženou kartu končící na 4242“ a zvolí platbu s ní. Stránka obchodníka odešle token `gtwy_tok_123abc` a novou částku nákupu do brány.
Brána načte skutečné číslo karty ze svého trezoru a zpracuje platbu. Obchodník usnadnil rychlé a pohodlné placení, aniž by kdy ukládal rizikový PAN.
Poznámky karetních asociací
Zatímco obecný koncept tokenizace není specifický pro schéma, nejpokročilejší forma, síťová tokenizace, je řízena přímo schématy. VTS (Visa Token Service) společnosti Visa a MDES (Mastercard Digital Enablement Service) společnosti Mastercard jsou dvě největší platformy pro vytváření a správu síťových tokenů.
Spolupracují s vydavateli na poskytování tokenů a jejich synchronizaci s podkladovými údaji o kartě. Používání síťových tokenů může někdy vést k nižším mezibankovním poplatkům, protože schémata považují tyto transakce za bezpečnější díky zahrnutí dynamického kryptogramu.
Naproti tomu tokeny brány jsou proprietární pro PSP, který je vytvořil, a nenabízejí žádné přímé výhody mezibankovních poplatků, ačkoli zůstávají základním nástrojem pro snížení rozsahu PCI DSS.
Proč je to důležité pro obchodníky
Pro obchodníky není tokenizace volitelná; je to základní součást moderního zpracování plateb. Primárním dopadem je výrazné snížení zátěže souladu s PCI DSS, což šetří čas, peníze a zdroje, které by jinak byly vynaloženy na přísné bezpečnostní kontroly a audity.
Je to také kritické bezpečnostní opatření proti narušení dat. Používáním síťové tokenizace mohou obchodníci také přímo zlepšit svůj hospodářský výsledek.
Automatické aktualizace karet poskytované síťovými tokeny zvyšují míru autorizace pro transakce s kartou v souboru, snižují nedobrovolné odchody a zachovávají toky příjmů, což je funkce obzvláště cenná pro podniky s předplatným.
Využití PSP, jako je Cardflo, který podporuje více typů tokenů, poskytuje obchodníkům bezpečnost a flexibilitu pro optimalizaci jejich směrování plateb.
Časté dotazy
Jak se tokenizace liší od šifrování v platebním prostředí?
Šifrování používá algoritmus k ukrytí dat, která lze dešifrovat klíčem, zatímco tokenizace nahrazuje data zcela nematematickým zástupným symbolem.
To znamená, že pokud dojde k narušení databáze tokenů, hodnoty jsou pro útočníka k ničemu, protože je nelze zvrátit, aby odhalily původní PAN bez přístupu k zabezpečenému trezoru tokenů.
Jaká je hlavní výhoda používání síťových tokenů oproti tokenům specifickým pro bránu?
Síťové tokeny nabízejí větší přenositelnost a dlouhou životnost, protože jsou rozpoznávány v celém platebním ekosystému, spíše než aby byly vázány na jednoho poskytovatele platebních služeb.
Automaticky se aktualizují, když banka vydá novou kartu, čímž se snižuje pravděpodobnost odmítnutí transakcí kvůli zastaralým údajům o kartě a zajišťuje, že obchodník může udržovat bezproblémový cyklus opakované fakturace.
Jaký je rozdíl mezi tokenizací a šifrováním?
Šifrování je obousměrný proces, který používá matematický algoritmus a klíč k zakódování dat. Kdokoli s klíčem může data dešifrovat zpět do jejich původní podoby.
Tokenizace je jednosměrný proces, kde jsou citlivá data nahrazena nesenzitivním tokenem. Mezi tokenem a původními daty neexistuje žádný matematický vztah, což znamená, že jej nelze zvrátit.
Díky tomu je tokenizace bezpečnější metodou pro ochranu uložených platebních dat.
Pokud používám tokenizaci, jsem stále v rozsahu PCI DSS?
Používání tokenizace prostřednictvím certifikovaného poskytovatele třetí strany drasticky snižuje váš rozsah PCI DSS, ale zcela jej neodstraňuje. Stále jste povinni každoročně ověřovat svůj soulad, obvykle vyplněním nejjednoduššího dotazníku pro sebehodnocení (SAQ A).
Tím se potvrzuje, že neukládáte, nezpracováváte ani nepřenášíte žádná data držitelů karet a spoléháte se na vyhovujícího poskytovatele služeb.
Mohu tokenizovat jiné platební metody než kreditní karty?
Ano. Ačkoli je nejčastěji spojována s platbami kartou, princip tokenizace lze aplikovat i na jiné platební nástroje.
Například čísla bankovních účtů používaná pro schémata přímého inkasa (jako SEPA nebo ACH) lze tokenizovat, aby obchodníci mohli zahájit budoucí platby, aniž by ukládali skutečné bankovní údaje. To poskytuje podobnou výhodu zabezpečení a souladu.
Co se stane s mými tokeny, pokud chci změnit poskytovatele plateb?
Pokud používáte proprietární tokeny brány, změna poskytovatelů vyžaduje bezpečný proces migrace tokenů. To zahrnuje převod uložených údajů o kartě vaším starým poskytovatelem na vašeho nového poskytovatele, který je poté znovu tokenizuje.
To může být složité a může zahrnovat poplatky. Pokud používáte síťové tokeny, jsou přenosné a můžete je jednoduše začít zpracovávat prostřednictvím nového poskytovatele, který je také připojen k tokenové službě schématu.
Zabraňuje tokenizace podvodům?
Tokenizace je primárně nástroj k ochraně uložených dat a zabránění jejich kompromitaci při narušení dat. Nezabraňuje transakčním podvodům, jako je například použití ukradených údajů o kartě k nákupu.
Síťová tokenizace však přidává vrstvu zabezpečení prostřednictvím použití kryptogramu specifického pro transakci, což činí transakce bezpečnějšími a pomáhá vydavatelům schvalovat více legitimních plateb.
See how Tokenizace plays out in practice
Industries and regions where this term drives real acquiring, routing, or dispute decisions.
Související pojmy
Úložiště tokenizovaných údajů o kartách v souladu s PCI DSS, které umožňuje obchodníkovi znovu účtovat kartu bez držení PAN.
Token vydaný schématem, který nahrazuje PAN end-to-end a je automaticky aktualizován při opětovném vydání podkladové karty.
Standard zabezpečení dat v odvětví platebních karet (Payment Card Industry Data Security Standard), rámec pro zpracování dat držitelů karet nařízený karetními schématy.
Technická vrstva, která šifruje karetní data, předává autorizační požadavky akvizitorovi a vrací výsledek obchodníkovi.
Související průvodci.
Jste připraveni zlepšit si nastavení plateb?
Řekněte nám o svém podnikání. Spojíme vás s těmi správnými akvizičními partnery a správnou cestou, obvykle do týdne.