Was ist Daten-Tokenisierung?
Daten-Tokenisierung ist ein Prozess, der auf Datensätze angewendet wird, um sensible Informationen zu schützen, am häufigsten Daten im Ruhezustand. Diese Technik ersetzt sensible Daten durch nicht-sensible, stellvertretende Daten, die als Token-Daten bekannt sind. Die Token-Daten haben dasselbe Format wie die Originaldaten. Zum Beispiel würden tokenisierte Kreditkartennummern weiterhin im sechzehnstelligen Format angezeigt.
Bei der Daten-Tokenisierung bleiben nicht-sensible Token-Daten im Datensatz, während die Referenz des Tokens zu den ursprünglichen sensiblen Daten oft sicher außerhalb des Systems in einem Token-Server gespeichert wird. Wenn die ursprünglichen sensiblen Daten wieder benötigt werden, kann die Beziehung der Token-Daten zu den ursprünglichen sensiblen Daten auf dem Token-Server nachgeschlagen werden; dies wird als Detokenisierungsprozess bezeichnet.
Arten der Daten-Tokenisierung
Unternehmen haben zwei Optionen für die Daten-Tokenisierung, die sich in den für die Detokenisierung benötigten Geschwindigkeiten unterscheiden.
- Vault-Tokenisierung: Die Vault-Tokenisierung speichert die Beziehungsdaten zwischen den ursprünglichen sensiblen Daten und ihrem entsprechenden Token in einem sicheren, separaten Token-Server-Tresor, auf den verwiesen wird, wenn die Originaldaten benötigt werden. Die Detokenisierung dieser Daten kann eine Weile dauern, daher können Unternehmen, wenn die Detokenisierung in großem Maßstab erfolgen muss, die vaultlose Tokenisierung in Betracht ziehen.
- Vaultlose Tokenisierung: Die vaultlose Tokenisierung nutzt keinen Token-Server-Tresor, sondern behält die Daten dort, wo sie sind, und wendet die Tokenisierung mit kryptografischen Geräten an. Unternehmen könnten diese Methode wählen, um lange Verarbeitungszeiten zu vermeiden, die für das Nachschlagen von Beziehungen in einem Token-Server-Tresor erforderlich sind.
Vorteile der Verwendung von Daten-Tokenisierung
Daten-Tokenisierungstechniken werden am häufigsten in der Zahlungsabwicklungsbranche eingesetzt. Der Payment Card Industry Data Security Standard (PCI-DSS) verlangt, dass sensible Daten wie Kreditkartennummern geschützt werden, und die Tokenisierung wird als Methode anerkannt, um dies zu erreichen. Daten-Tokenisierung kann jedoch verwendet werden, um jede Art von sensiblen Daten zu schützen.
Ein häufiger Anwendungsfall für Daten-Tokenisierungsmethoden ist der Schutz von Gesundheitsinformationen von Patienten.
Unternehmen verwenden Daten-Tokenisierung, um:
- Branchensicherheitsstandards zu erfüllen: Unternehmen verwenden Daten-Tokenisierung, um die Anforderungen an Branchensicherheitsstandards zu erfüllen, wie z.B. den Schutz sensibler Zahlungsdaten, um die PCI-DSS-Compliance-Anforderungen zu erfüllen.
- Missbrauch von Daten zu reduzieren: Tokenisierte Daten entfernen einen Risikofaktor für missbrauchte oder misshandelte Daten. Zum Beispiel kann ein böswilliger Akteur ohne Zugriff auf den Token-Tresor oder kryptografische Geräte zur Detokenisierung von Daten die Daten außerhalb ihres Systems nicht nutzen. Zum Beispiel kann ein böswilliger Akteur keine Einkäufe mit tokenisierten Kreditkarteninformationen tätigen.
- Das Vertrauen der Kunden zu verbessern: Kunden möchten wissen, dass wichtige Informationen wie ihre Zahlungsinformationen sicher gespeichert werden. Daten-Tokenisierung kann den Kunden helfen, Vertrauen zu gewinnen, dass die Unternehmen, mit denen sie Geschäfte machen, ihre Daten schützen.
Auswirkungen der Verwendung von Daten-Tokenisierung
Die häufigste Auswirkung der Verwendung von Daten-Tokenisierungstechniken besteht darin, sensible Informationen zu sichern.
- Bedrohungsvektoren reduzieren: Die Tokenisierung von Daten reduziert die Fähigkeit böswilliger Akteure, sensible Daten zu missbrauchen.
- Den Bedarf an fortschrittlichen Sicherheitskontrollen reduzieren: Die Verwendung von tokenisierten Daten kann die Menge an sensiblen Daten reduzieren, die fortschrittlichere Sicherheitskontrollen erfordern.
Daten-Tokenisierung vs. Datenmaskierung
Daten-Tokenisierung wird häufiger verwendet, um Daten im Ruhezustand zu schützen. Diese Technik kann Wartezeiten einführen, wenn die Beziehung zwischen den Token-Daten und den ursprünglichen sensiblen Daten im Token-Server-Tresor nachgeschlagen werden muss.
Datenmaskierung wird häufiger verwendet, um Daten in Gebrauch zu schützen, am häufigsten in Produktionsumgebungen für Tests oder in Anwendungen, die von Mitarbeitern mit eingeschränktem Zugriff auf tatsächliche Daten verwendet werden.
Merry Marwig, CIPP/US
Merry Marwig is a senior research analyst at G2 focused on the privacy and data security software markets. Using G2’s dynamic research based on unbiased user reviews, Merry helps companies best understand what privacy and security products and services are available to protect their core businesses, their data, their people, and ultimately their customers, brand, and reputation. Merry's coverage areas include: data privacy platforms, data subject access requests (DSAR), identity verification, identity and access management, multi-factor authentication, risk-based authentication, confidentiality software, data security, email security, and more.
