¿Qué es la tokenización de datos?
La tokenización de datos es un proceso aplicado a conjuntos de datos para proteger información sensible, más comúnmente datos en reposo. Esta técnica reemplaza los datos sensibles con datos sustitutos no sensibles conocidos como datos tokenizados. Los datos tokenizados tendrán el mismo formato que los datos originales. Por ejemplo, los números de tarjetas de crédito tokenizados seguirían apareciendo en un formato de dieciséis dígitos.
Con la tokenización de datos, los datos tokenizados no sensibles permanecen en el conjunto de datos, mientras que la referencia del token a los datos sensibles originales a menudo se almacena de manera segura fuera del sistema en un servidor de tokens. Cuando se necesitan nuevamente los datos sensibles originales, se puede consultar la relación de los datos tokenizados con los datos sensibles originales en el servidor de tokens; esto se llama un proceso de des-tokenización.
Tipos de tokenización de datos
Las empresas tienen dos opciones para la tokenización de datos, que difieren en las velocidades necesarias para la des-tokenización.
- Tokenización con bóveda: La tokenización con bóveda almacena los datos de relación entre los datos sensibles originales y su token correspondiente en una bóveda de servidor de tokens segura y separada para ser referenciada cuando se necesiten los datos originales. Des-tokenizar estos datos puede llevar tiempo, por lo que si la des-tokenización tiene que ocurrir a gran escala, las empresas pueden considerar la tokenización sin bóveda.
- Tokenización sin bóveda: La tokenización sin bóveda no utiliza una bóveda de servidor de tokens, sino que mantiene los datos donde están pero aplica la tokenización utilizando dispositivos criptográficos. Las empresas podrían elegir este método para evitar largos tiempos de procesamiento al buscar relaciones en una bóveda de servidor de tokens.
Beneficios de usar la tokenización de datos
Las técnicas de tokenización de datos se utilizan más comúnmente en la industria de procesamiento de pagos. El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI-DSS) requiere que los datos sensibles, como los números de tarjetas de crédito, estén protegidos y que la tokenización sea reconocida como un método para lograr esto. Sin embargo, la tokenización de datos se puede usar para proteger cualquier tipo de datos sensibles.
Un caso de uso común para los métodos de tokenización de datos es proteger la información de salud de los pacientes.
Las empresas utilizan la tokenización de datos para:
- Cumplir con los estándares de seguridad de la industria: Las empresas utilizan la tokenización de datos para cumplir con los requisitos de estándares de seguridad de la industria, como proteger los datos de pago sensibles para cumplir con los requisitos de cumplimiento de PCI-DSS.
- Reducir el uso indebido de datos: Los datos tokenizados eliminan un factor de riesgo de uso indebido o abuso de datos. Por ejemplo, sin acceso a la bóveda de tokens o a dispositivos criptográficos para des-tokenizar datos, los datos se vuelven inútiles fuera de su sistema. Por ejemplo, un actor malintencionado no puede realizar compras utilizando información de tarjetas de crédito tokenizadas.
- Mejorar la confianza del cliente: Los clientes quieren saber que información importante, como su información de pago, está almacenada de manera segura. La tokenización de datos puede ayudar a los clientes a sentirse seguros de que las empresas con las que hacen negocios protegen sus datos.
Impactos de usar la tokenización de datos
El impacto más común de usar técnicas de tokenización de datos es asegurar información sensible.
- Reducir vectores de amenaza: Tokenizar datos reduce la capacidad de los actores malintencionados para usar indebidamente datos sensibles.
- Reducir la necesidad de controles de seguridad avanzados: Usar datos tokenizados puede reducir la cantidad de datos sensibles que requieren controles de seguridad más avanzados.
Tokenización de datos vs. enmascaramiento de datos
La tokenización de datos se utiliza más comúnmente para proteger datos en reposo. Esta técnica puede introducir tiempos de espera al tener que referenciar la relación entre los datos tokenizados y los datos sensibles originales en la bóveda del servidor de tokens.
El enmascaramiento de datos se utiliza más comúnmente para proteger datos en uso, más comúnmente en entornos de producción para pruebas o en aplicaciones utilizadas por empleados con acceso limitado a datos reales.
Merry Marwig, CIPP/US
Merry Marwig is a senior research analyst at G2 focused on the privacy and data security software markets. Using G2’s dynamic research based on unbiased user reviews, Merry helps companies best understand what privacy and security products and services are available to protect their core businesses, their data, their people, and ultimately their customers, brand, and reputation. Merry's coverage areas include: data privacy platforms, data subject access requests (DSAR), identity verification, identity and access management, multi-factor authentication, risk-based authentication, confidentiality software, data security, email security, and more.
