A tokenização PCI é a prática de substituir um número de conta principal (PAN) por um valor substituto (um token) que não possui valor explorável. A tokenização se tornou o mecanismo típico para satisfazer os requisitos de proteção de dados do titular do cartão do Payment Card Industry Data Security Standard (PCI DSS), porque um sistema que armazena apenas tokens geralmente fica fora do escopo do padrão completo.

Essa distinção, entre sistemas que lidam com números de cartão brutos e sistemas que só veem tokens, determina quanto do PCI DSS se aplica a uma determinada empresa. Isso é importante para a segurança do pagamento, dado que o custo de uma violação de dados PCI pode variar de US$ 5.000 a mais de US$ 500.000.

Abaixo, discutiremos como a tokenização PCI oferece suporte à conformidade, o que acontece tecnicamente desde o momento em que um cartão é inserido até o momento em que um token é retornado, e as vantagens que os tokens de rede têm sobre os tokens emitidos pela empresa.

Principais conclusões

• Os tokens substituem os PANs por valores substitutos que não podem ser revertidos fora de um cofre certificado.

• Empresas que deixam de armazenar PANs brutos geralmente podem se qualificar para um Questionário de Autoavaliação (SAQ) do PCI DSS mais curto.

• Os tokens de rede adicionam vinculação criptográfica e atualizações automáticas de ciclo de vida que os tokens emitidos pela empresa não fornecem por conta própria.

O que é a tokenização PCI?

A tokenização PCI substitui os dígitos impressos em um cartão de pagamento por um token: um valor substituto que se parece com o número do cartão, mas que não tem valor que possa ser explorado por si só. O token é o que se movimenta nos sistemas da empresa, enquanto os PANs são armazenados separadamente em um cofre.

Como a tokenização PCI reduz o escopo do PCI DSS?

Quando um sistema deixa de armazenar, processar ou transmitir PANs e passa a lidar apenas com tokens, a maior parte dessa infraestrutura pode ser movida para fora do ambiente de dados do titular do cartão e não está sujeita ao PCI DSS. Se um sistema tiver apenas tokens, não haverá um PAN para criptografar, não haverá chaves de criptografia para gerenciar nesse sistema nem algo relevante a ser incluído no monitoramento da integridade de arquivos. A Visa e a Mastercard reconhecem a tokenização como um controle aprovado em seus próprios padrões de segurança. O PCI DSS faz referência direta à tokenização em sua orientação para tornar os PANs ilegíveis onde quer que sejam armazenados.

Com a tokenização, o próprio cofre de tokens, qualquer sistema que processe a captura do cartão antes da tokenização e qualquer elemento com a capacidade técnica de reverter um token para um PAN devem permanecer no escopo. O operador do cofre precisa da sua própria validação PCI DSS, geralmente como um provedor de serviços de Nível 1, o que significa um Relatório de Conformidade anual de um Consultor de Segurança Qualificado em vez de uma autoavaliação. A empresa que depende de um cofre de terceiros herda parte dessa garantia, mas ainda assim documenta a relação em sua própria certificação, normalmente por meio de uma matriz de responsabilidade compartilhada que explica quais requisitos são cobertos pelo operador do cofre e quais são da responsabilidade da empresa.

Mesmo com a tokenização processando a maior parte da proteção de dados do titular do cartão, algumas categorias de requisitos não desaparecem. O Requisito 12, que abrange a política de segurança e a resposta a incidentes, ainda se aplica a qualquer empresa que aceite pagamentos com cartão. A segmentação de rede no Requisito 1, a segurança física dos terminais com cartão presente, os controles de acesso de funcionários e a higiene geral, a correção, os firewalls e os softwares antivírus em qualquer sistema que interaja com o fluxo de pagamento antes da tokenização continuam em vigor.

A tokenização também pode afetar a forma como uma empresa valida a conformidade com o PCI DSS, que é feita por meio de um SAQ ou de um Relatório de Conformidade. Uma empresa que armazena os PANs completos nos seus próprios servidores se enquadra tipicamente no SAQ D, que abrange o conjunto completo de requisitos do PCI DSS. Uma empresa que faz a tokenização no ponto de entrada e nunca armazena um PAN sem criptografia frequentemente pode se qualificar para as versões mais simples (SAQ A ou SAQ A-EP).

Como a tokenização PCI funciona na prática?

A mecânica da tokenização PCI se resume a quatro passos: captura, troca, armazenamento e reutilização.

Primeiramente, o sistema confirma se a entrada é um número de cartão estruturalmente válido, normalmente de 13 a 19 dígitos, e identifica a bandeira do cartão e a rede emissora. Em seguida, cria o token substituto, que pode ser aleatório ou com preservação de formato (para que o token possa passar por bases de dados existentes e ferramentas de relatórios sem quebrar a duração ou as premissas de formatação integradas aos sistemas mais antigos).

O PAN real e o token correspondente são gravados em um cofre criptografado, e as chaves de criptografia são gerenciadas separadamente, geralmente em um módulo de segurança de hardware. O valor substituto permanece nos outros sistemas da empresa, onde substitui o PAN para qualquer referência futura.

Quando é necessário fazer uma cobrança, o sistema de tokenização destokeniza o valor internamente, roteia o PAN real para a rede de cartões para autorização e nunca o expõe aos sistemas que iniciaram a solicitação. As ferramentas de reconciliação podem estabelecer correspondência entre as transações usando o token, pois este é sempre mapeado para o mesmo PAN subjacente durante a vigência do cartão em questão.

Qual é a diferença entre a tokenização de rede e a tokenização PCI baseada em comerciante?

Um token emitido pela empresa, gerado por ela mesma ou por um provedor de pagamento em seu nome, existe inteiramente na pilha de pagamento dessa empresa. Ele mapeia para um PAN dentro de um cofre que a empresa ou seu provedor opera, e geralmente funciona apenas dentro desse sistema. Ele soluciona bem o problema de armazenamento do PCI DSS, mas não vai muito além disso.

O token da rede é proveniente da própria rede de cartões. Esses tokens são criptograficamente vinculados a um dispositivo específico, empresa ou canal por meio de um ID do solicitante do token. Portanto, um token provisionado para o checkout de uma empresa não pode ser reproduzido em outro lugar, mesmo em caso de vazamento. Os tokens da rede também se atualizam sozinhos: se o cartão de um cliente for reemitido após uma notificação de perda ou vencimento, a rede enviará o token atualizado automaticamente.

Ambas as abordagens estão em conformidade, pois as duas removem o PAN bruto do ambiente da empresa. A diferença está além da conformidade. Os tokens de rede tendem a gerar taxas de autorização mais altas porque os emissores podem verificar o vínculo criptográfico e confiar no contexto da transação, além de minimizar as falhas de renovação que resultam de um pagamento recusado devido a cartões expirados.

A tokenização PCI é adequada para a sua empresa?

A resposta sincera depende do volume de dados do titular do cartão que interagem com os sistemas da própria empresa hoje.

Veja alguns cenários nos quais a tokenização traz mais benefícios:

• Transações recorrentes ou de cartão armazenado: empresas de assinatura, plataformas de assinatura e qualquer empresa que armazene um cartão em arquivo para cobranças futuras se beneficiam ao máximo ao retirar os PANs de seus próprios ambientes.

• Vários sistemas internos que interagem com dados de pagamento: se as ferramentas de atendimento ao cliente, as análises e a gestão de pedidos precisarem fazer referência a uma transação, os tokens permitirão que o façam sem expandir o ambiente de dados do titular do cartão para abranger cada um deles.

• Recursos internos de segurança limitados: empresas sem equipes dedicadas se beneficiam ao transferir o armazenamento do PAN e o gerenciamento de chaves para um operador de cofre certificado, em vez de criarem essa infraestrutura.

• Planos para reduzir as taxas de pagamento recusado com cartão em arquivo: empresas com problemas de autorização ou renovação decorrentes de cartões expirados devem confirmar se seus sistemas de tokenização aceitam tokens da rede em vez de apenas tokens no nível da empresa.

As empresas que usam a Stripe já têm a tokenização PCI por padrão, integrada nas integrações de checkout, em campos hospedados e em formas de pagamento salvas. A decisão prática geralmente não é tokenizar ou não, mas sim se a integração atual mantém os PANs brutos totalmente fora dos servidores da própria empresa e confirmar que, juntamente com o SAQ aplicável, isso abrange a maior parte da avaliação pragmática.

Como o Stripe Payments pode ajudar

Stripe Payments oferece uma solução de pagamentos unificada e global que ajuda qualquer empresa a aceitar pagamentos com carteiras digitais online, em pontos de venda e no mundo todo.

O Stripe Payments pode ajudar você a:

• Otimize a sua experiência de checkout: crie uma experiência perfeita para o cliente e poupe milhares de horas de engenharia com interfaces de usuário de pagamento predefinidas, acesso a mais de 125 formas de pagamento e ao Link, uma carteira digital criada pela Stripe.

• Expanda para novos mercados mais rapidamente: alcance clientes em todo o mundo e reduza a complexidade e o custo da gestão multimoedas com opções de pagamento internacional, disponíveis em 195 países e mais de 135 moedas.

• Unifique pagamentos presenciais e online: desenvolva uma experiência de unified commerce entre canais online e presenciais para personalizar interações, recompensar a fidelidade e aumentar a receita.

• Melhorar o desempenho dos pagamentos: aumente a receita com ferramentas configuráveis, proteção contra fraudes no-code e recursos avançados que elevam as taxas de autorização.

• Avançar mais rápido com uma plataforma flexível e confiável para crescer: desenvolva sobre uma plataforma projetada para crescer junto com o seu negócio, com 99,999% de disponibilidade histórica e confiabilidade líder do setor.

Saiba mais sobre como o Stripe Payments pode potencializar seus pagamentos presenciais e online ou comece já.