トークナイゼーションとは
トークナイゼーションの概要を見ていきましょう。
カード番号などのデータを乱数に置き換える技術
トークナイゼーションとは、カード番号などの機密情報を乱数に置き換えることで、第三者による取得を防止する技術です。置き換えられた乱数をトークンと呼びます。
トークンに置き換えられたデータから元のデータを復元することは不可能です。一度トークナイゼーションされたデータは、その後はトークンのまま扱うことになります。そして、必要になったときのみ、元のデータにアクセスします。
たとえば、ECサイト会社の社員が顧客のカード番号を検索する際に使われるのは、トークナイゼーションされたデータです。元のカード番号が使われるのは、決済などのときのみです。
これにより、元のカード番号が管理者を含む人の目につく機会が減少し、流出のリスクが低下します。
トークンから元の情報を把握されにくい
トークナイゼーションは、元の情報を別の文字列に置き換えるという点では暗号化と同じです。しかし、暗号化は復号を前提としているのに対し、トークナイゼーションはそうでない点で異なります。
したがって、トークナイゼーションは暗号化以上に元のデータを第三者に不正取得されにくいセキュリティ対策です。そのため、クレジットカードやマイナンバーなど、重要な情報を長期保存する仕組みとして利用されています。
PCI DSSの準拠手段として注目されている
PCI DSSとは、クレジットカード番号の適切な管理を目的として定められた、セキュリティ対策の基準です。
国際カードブランド５社が共同で設立したPCI SSCが運用しています。PCI DSSの認定を受ければ、クレジットカード番号を適切に管理している企業として社会的信頼を高められます。
トークナイゼーションの導入は、PCI DSSの認定を受けるうえで有利です。なぜなら、トークンになったカード番号は漏洩しても問題ないため、PCI DSSの認定審査対象から除外されるからです。
トークナイゼーションの仕組み
トークナイゼーションでは、以下のように番号を別のものに置き換えます。
- ■1234 5678 8765 4321⇒5248 7236 5122 5792
暗号化とは異なり、上記の変換には数学的な法則は存在しません。そのため、変換後データから変換前データを復元することは不可能です。
しかし、変換前と変換後のデータは１対１で対応しているため、変換後データがあれば変換前データを特定可能です。これにより、普段カード番号の照合・検索などをする際はトークンを使い、必要に応じて元のデータにアクセスできます。
ちなみに、元のデータは暗号化されて厳重に管理されます。逆に、それ以外ではすべてトークンで扱われます。したがって、企業は所有しているカード番号情報のうち、漏洩しては困る元のデータの割合を最小限に抑えられるのです。
トークナイゼーションのメリット
続いて、トークナイゼーションのメリットを詳しく見ていきましょう。
今あるシステムへの影響を抑えられる
トークナイゼーションによる加工は、データの長さやフォーマットが変化しません。16桁の番号をトークナイゼーションしたものは、元と同じく16桁の番号です。したがって、データの変化によるシステムへの影響を最小限に抑えられます。
たとえば、もし16桁の番号が32桁になってしまったらシステムの改修が必要かもしれません。入力項目の桁数が16桁までという制限がある場合、32桁の番号は入力できないからです。
また、数字だけでなくアルファベットやそれ以外の文字・記号に置き換えた場合も、入力に支障をきたすでしょう。トークナイゼーションではそのようなことがないため、今あるシステムをほとんど改修せずに利用できます。
さまざまな機密データに対応できる
トークナイゼーションは、クレジットカード番号の管理基準を定めるPCI DSSに注目されています。しかし、カード番号にしか利用できないわけではありません。マイナンバーや年金番号のほか、健康保険証の番号や住民票コードの保護も可能です。
そのような柔軟性を実現しているのが、トークナイゼーション製品のフォーマット変更機能です。入力桁数や使用文字などを変更することで、カード番号以外にも適用できるようになります。
トークナイゼーションを活用して安全性を高めよう！
トークナイゼーションとは、クレジットカード番号などを別の番号（トークン）に置き換えることです。トークンから元のデータを復元できない仕組みのため、高い安全性を誇ります。
暗号化と異なり、元データと同じフォーマットであるためシステムの改修は不要です。また、多様なフォーマットに対応可能で、カード番号以外にも適用できます。
以上を踏まえてトークナイゼーションを活用し、自社の情報を守りましょう。
