Czym jest Tokenizacja?
Zastąpienie wrażliwych danych karty niewrażliwą wartością zastępczą, którą można przechowywać i ponownie wykorzystywać bez zakresu PCI.
Tokenizacja to podstawowy proces bezpieczeństwa danych, który zastępuje wrażliwy element danych, taki jak 16-cyfrowy Podstawowy Numer Rachunku (PAN), niewrażliwym odpowiednikiem znanym jako „token”.
Ten token nie ma żadnej wartości zewnętrznej ani możliwej do wykorzystania; jest to po prostu odniesienie do oryginalnych danych, które są bezpiecznie przechowywane w środowisku zgodnym z PCI DSS, zwanym skarbcem.
Używając tokenów do inicjowania płatności, sprzedawcy mogą uniknąć obsługi i przechowywania surowych danych posiadaczy kart we własnych systemach. To drastycznie zmniejsza zakres ich zgodności z PCI DSS, łagodzi ryzyko związane z naruszeniem danych i usuwa niebezpieczne informacje z ich środowiska.
Istnieją dwa główne typy tokenizacji. Pierwszym jest tokenizacja bramki (lub PSP), gdzie dostawca płatności tworzy zastrzeżony token, który może być używany tylko w jego własnym ekosystemie przetwarzania.
Jest to skuteczne dla bezpieczeństwa, ale może prowadzić do uzależnienia od dostawcy. Drugą, bardziej zaawansowaną formą jest tokenizacja sieciowa.
Tutaj same systemy kart (Visa, Mastercard) wydają token. Te tokeny sieciowe są interoperacyjne między różnymi dostawcami płatności i, co najważniejsze, są automatycznie aktualizowane przez bank wydający, gdy fizyczna karta klienta zostanie wymieniona lub wygaśnie.
Ta trwałość jest kluczową zaletą, bezpośrednio poprawiającą wskaźniki autoryzacji dla transakcji cyklicznych i transakcji typu card-on-file. Częstym nieporozumieniem jest to, że tokenizacja jest tym samym co szyfrowanie.
Szyfrowanie używa klucza do zaszyfrowania danych i może być odwrócone za pomocą tego samego klucza, podczas gdy prawidłowo tokenizowana wartość nie może być odtworzona do oryginalnego PAN.
Przykład praktyczny
Klient po raz pierwszy dokonuje zakupu za 75 GBP na stronie e-commerce. Podczas realizacji zamówienia wprowadza dane swojej karty.
Bramka płatnicza sprzedawcy wykorzystuje tokenizację. Surowe dane karty są wysyłane bezpośrednio do bezpiecznego skarbca bramki, nigdy nie dotykając serwera sprzedawcy.
Skarbiec bramki odpowiada tokenem, na przykład `gtwy_tok_123abc`, który sprzedawca przechowuje przy koncie klienta do przyszłego użytku. Miesiąc później klient wraca.
Widzi swoją „Zapisaną kartę kończącą się na 4242” i wybiera płatność za jej pomocą. Strona sprzedawcy wysyła token `gtwy_tok_123abc` i nową kwotę zakupu do bramki.
Bramka pobiera prawdziwy numer karty ze swojego skarbca i przetwarza płatność. Sprzedawca umożliwił szybką i wygodną realizację zamówienia bez przechowywania ryzykownego numeru PAN.
Uwagi organizacji kartowych
Chociaż ogólna koncepcja tokenizacji nie jest specyficzna dla systemu płatniczego, najbardziej zaawansowana forma, tokenizacja sieciowa, jest bezpośrednio napędzana przez systemy płatnicze. VTS (Visa Token Service) firmy Visa i MDES (Mastercard Digital Enablement Service) firmy Mastercard to dwie największe platformy do tworzenia i zarządzania tokenami sieciowymi.
Współpracują one z wydawcami w celu udostępniania tokenów i utrzymywania ich synchronizacji z podstawowymi danymi karty. Używanie tokenów sieciowych może czasami skutkować niższymi stawkami Interchange, ponieważ systemy płatnicze postrzegają te transakcje jako bezpieczniejsze ze względu na włączenie dynamicznego kryptogramu.
W przeciwieństwie do tego, tokeny bramki są zastrzeżone dla PSP, który je utworzył i nie oferują bezpośrednich korzyści Interchange, chociaż pozostają niezbędnym narzędziem do zmniejszania zakresu PCI DSS.
Dlaczego to ważne dla sprzedawców
Dla sprzedawców tokenizacja nie jest opcją; jest to niezbędny element nowoczesnego przetwarzania płatności. Głównym skutkiem jest znaczne zmniejszenie obciążenia związanego z zgodnością z PCI DSS, oszczędzając czas, pieniądze i zasoby, które w przeciwnym razie zostałyby przeznaczone na rygorystyczne kontrole bezpieczeństwa i audyty.
Jest to również kluczowy środek bezpieczeństwa przeciwko naruszeniom danych. Korzystając z tokenizacji sieciowej, sprzedawcy mogą również bezpośrednio poprawić swoje wyniki finansowe.
Automatyczne aktualizacje kart zapewniane przez tokeny sieciowe zwiększają wskaźniki autoryzacji dla transakcji typu card-on-file, zmniejszając niezamierzony odpływ klientów i chroniąc strumienie przychodów, co jest szczególnie cenną funkcją dla firm subskrypcyjnych.
Korzystanie z PSP, takiego jak Cardflo, który obsługuje wiele typów tokenów, zapewnia sprzedawcom bezpieczeństwo i elastyczność w optymalizacji routingu płatności.
Często zadawane
Czym tokenizacja różni się od szyfrowania w środowisku płatności?
Szyfrowanie wykorzystuje algorytm do ukrywania danych, które można odszyfrować za pomocą klucza, podczas gdy tokenizacja całkowicie zastępuje dane niematerialnym symbolem zastępczym.
Oznacza to, że jeśli baza danych tokenów zostanie naruszona, wartości są bezużyteczne dla atakującego, ponieważ nie można ich odwrócić, aby ujawnić oryginalny PAN bez dostępu do bezpiecznego skarbca tokenów.
Jaka jest główna zaleta używania tokenów sieciowych w porównaniu z tokenami specyficznymi dla bramki?
Tokeny sieciowe oferują większą przenośność i trwałość, ponieważ są rozpoznawane w całym ekosystemie płatności, a nie są powiązane z jednym dostawcą usług płatniczych.
Automatycznie aktualizują się, gdy bank wydaje nową kartę, zmniejszając prawdopodobieństwo odrzucenia transakcji z powodu nieaktualnych danych karty i zapewniając sprzedawcy możliwość utrzymania płynnego cyklu rozliczeń cyklicznych.
Jaka jest różnica między tokenizacją a szyfrowaniem?
Szyfrowanie to dwukierunkowy proces, który wykorzystuje algorytm matematyczny i klucz do zaszyfrowania danych. Każdy, kto posiada klucz, może odszyfrować dane z powrotem do ich oryginalnej formy.
Tokenizacja to jednokierunkowy proces, w którym wrażliwe dane są zastępowane niewrażliwym tokenem. Nie ma matematycznego związku między tokenem a oryginalnymi danymi, co oznacza, że nie można go odwrócić.
To sprawia, że tokenizacja jest bezpieczniejszą metodą ochrony przechowywanych danych płatniczych.
Jeśli używam tokenizacji, czy nadal podlegam PCI DSS?
Używanie tokenizacji za pośrednictwem certyfikowanego dostawcy zewnętrznego drastycznie zmniejsza zakres Twojej zgodności z PCI DSS, ale nie eliminuje go całkowicie. Nadal jesteś zobowiązany do corocznego potwierdzania zgodności, zazwyczaj poprzez wypełnienie najprostszego kwestionariusza samooceny (SAQ A).
Potwierdza to, że nie przechowujesz, nie przetwarzasz ani nie przesyłasz żadnych danych posiadaczy kart i polegasz na zgodnym dostawcy usług.
Czy mogę tokenizować inne metody płatności niż karty kredytowe?
Tak. Chociaż najczęściej kojarzona z płatnościami kartami, zasada tokenizacji może być stosowana do innych instrumentów płatniczych.
Na przykład numery kont bankowych używane do poleceń zapłaty (takich jak SEPA lub ACH) mogą być tokenizowane, aby umożliwić sprzedawcom inicjowanie przyszłych płatności bez przechowywania rzeczywistych danych bankowych. Zapewnia to podobne korzyści w zakresie bezpieczeństwa i zgodności.
Co dzieje się z moimi tokenami, jeśli chcę zmienić dostawcę płatności?
Jeśli używają Państwo zastrzeżonych tokenów bramki płatniczej, zmiana dostawcy wymaga bezpiecznego procesu migracji tokenów. Obejmuje to przeniesienie przez Państwa poprzedniego dostawcę zarchiwizowanych danych karty do nowego dostawcy, który następnie ponownie je tokenizuje.
Może to być skomplikowane i wiązać się z opłatami. Jeśli używają Państwo tokenów sieciowych, są one przenośne i mogą Państwo po prostu zacząć je przetwarzać za pośrednictwem nowego dostawcy, który jest również połączony z usługą tokenów systemu płatniczego.
Czy tokenizacja zapobiega oszustwom?
Tokenizacja jest przede wszystkim narzędziem do ochrony przechowywanych danych i zapobiegania ich naruszeniu w przypadku wycieku danych. Nie zapobiega oszustwom transakcyjnym, takim jak użycie skradzionych danych karty do dokonania zakupu.
Jednak tokenizacja sieciowa dodaje warstwę bezpieczeństwa poprzez użycie kryptogramu specyficznego dla transakcji, co sprawia, że transakcje są bezpieczniejsze i pomaga wydawcom zatwierdzać więcej legalnych płatności.
See how Tokenizacja plays out in practice
Industries and regions where this term drives real acquiring, routing, or dispute decisions.
Powiązane terminy
Zgodne z PCI DSS przechowywanie tokenizowanych danych kart, które pozwala sprzedawcy ponownie obciążyć kartę bez przechowywania numeru PAN.
Token wydany przez system płatniczy, który zastępuje PAN od początku do końca i jest automatycznie aktualizowany, gdy podstawowa karta zostanie ponownie wydana.
Standard bezpieczeństwa danych w branży kart płatniczych, narzucone przez systemy płatnicze ramy postępowania z danymi posiadaczy kart.
Warstwa techniczna, która szyfruje dane karty, przekazuje żądania autoryzacji do acquirera i zwraca wynik sprzedawcy.
Powiązane przewodniki.
Gotowy, by ulepszyć swoje płatności?
Opowiedz nam o swojej firmie. Dopasujemy Cię do odpowiednich partnerów acquiringowych i odpowiedniej ścieżki, zazwyczaj w ciągu tygodnia.