O que é tokenização de dados?
A tokenização de dados é um processo aplicado a conjuntos de dados para proteger informações sensíveis, mais comumente dados em repouso. Esta técnica substitui dados sensíveis por dados substitutos não sensíveis, conhecidos como dados de token. Os dados de token terão o mesmo formato que os dados originais. Por exemplo, números de cartão de crédito tokenizados ainda apareceriam em um formato de dezesseis dígitos.
Com a tokenização de dados, os dados de token não sensíveis permanecem no conjunto de dados, enquanto a referência do token aos dados sensíveis originais é frequentemente armazenada de forma segura fora do sistema em um servidor de token. Quando os dados sensíveis originais são necessários novamente, a relação dos dados de token com os dados sensíveis originais pode ser consultada no servidor de token; isso é chamado de processo de des-tokenização.
Tipos de tokenização de dados
As empresas têm duas opções para tokenização de dados, que diferem nas velocidades necessárias para a des-tokenização.
- Tokenização com cofre: A tokenização com cofre armazena os dados de relacionamento entre os dados sensíveis originais e seu token correspondente em um cofre de servidor de token seguro e separado para ser referenciado quando os dados originais forem necessários. Des-tokenizar esses dados pode demorar um pouco, então se a des-tokenização tiver que acontecer em escala, as empresas podem considerar a tokenização sem cofre.
- Tokenização sem cofre: A tokenização sem cofre não utiliza um cofre de servidor de token, mas mantém os dados onde estão, aplicando a tokenização usando dispositivos criptográficos. As empresas podem escolher este método para evitar longos tempos de processamento para consultar relações em um cofre de servidor de token.
Benefícios do uso da tokenização de dados
Técnicas de tokenização de dados são mais comumente usadas na indústria de processamento de pagamentos. O Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI-DSS) exige que dados sensíveis, como números de cartão de crédito, sejam protegidos e que a tokenização seja reconhecida como um método para alcançar isso. No entanto, a tokenização de dados pode ser usada para proteger qualquer tipo de dado sensível.
Um caso de uso comum para métodos de tokenização de dados é proteger informações de saúde dos pacientes.
As empresas usam a tokenização de dados para:
- Atender aos padrões de segurança da indústria: As empresas usam a tokenização de dados para atender aos requisitos de padrões de segurança da indústria, como proteger dados de pagamento sensíveis para atender aos requisitos de conformidade PCI-DSS.
- Reduzir o uso indevido de dados: Dados tokenizados removem um fator de risco de dados mal utilizados ou abusados. Por exemplo, sem acesso ao cofre de token ou dispositivos criptográficos para des-tokenizar dados, os dados são tornados inúteis fora de seu sistema. Por exemplo, um agente mal-intencionado não pode fazer compras usando informações de cartão de crédito tokenizadas.
- Melhorar a confiança do cliente: Os clientes querem saber que informações importantes, como suas informações de pagamento, estão armazenadas de forma segura. A tokenização de dados pode ajudar os clientes a se sentirem confiantes de que as empresas com as quais fazem negócios protegem seus dados.
Impactos do uso da tokenização de dados
O impacto mais comum do uso de técnicas de tokenização de dados é proteger informações sensíveis.
- Reduzir vetores de ameaça: Tokenizar dados reduz a capacidade de agentes mal-intencionados de usar indevidamente dados sensíveis.
- Reduzir a necessidade de controles de segurança avançados: Usar dados tokenizados pode reduzir a quantidade de dados sensíveis que requerem controles de segurança mais avançados.
Tokenização de dados vs. mascaramento de dados
A tokenização de dados é mais comumente usada para proteger dados em repouso. Esta técnica pode introduzir tempos de espera ao ter que referenciar a relação entre os dados de token e os dados sensíveis originais no cofre do servidor de token.
O mascaramento de dados é mais comumente usado para proteger dados em uso, mais comumente em ambientes de produção para testes ou em aplicativos usados por funcionários com acesso limitado a dados reais.
Merry Marwig, CIPP/US
Merry Marwig is a senior research analyst at G2 focused on the privacy and data security software markets. Using G2’s dynamic research based on unbiased user reviews, Merry helps companies best understand what privacy and security products and services are available to protect their core businesses, their data, their people, and ultimately their customers, brand, and reputation. Merry's coverage areas include: data privacy platforms, data subject access requests (DSAR), identity verification, identity and access management, multi-factor authentication, risk-based authentication, confidentiality software, data security, email security, and more.
