La tokenización PCI es la práctica de reemplazar un número de cuenta principal (PAN) con un valor sustituto (un token) que no tiene un valor explotable. La tokenización se ha convertido en el mecanismo típico para cumplir los requisitos de protección de datos del titular de la tarjeta del Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS), porque un sistema que solo tiene tokens generalmente queda fuera del alcance del estándar completo.

Esta distinción, entre los sistemas que tocan números de tarjetas sin procesar y los sistemas que solo ven tokens, determina qué parte del PCI DSS se aplica a una empresa determinada. Esto es importante para la seguridad de los pagos, ya que el costo de una filtración de datos de PCI puede oscilar entre $5,000 to more than $500,000.

A continuación, hablaremos sobre cómo la tokenización PCI contribuye al cumplimiento de la normativa, qué sucede a nivel técnico desde el momento en que se ingresa una tarjeta hasta el momento en que se devuelve un token y las ventajas que tienen los tokens de red sobre los tokens emitidos por la empresa.

Puntos clave

• Los tokens reemplazan los PAN por valores sustitutos que no se pueden revertir fuera de una bóveda certificada.

• Las empresas que dejen de almacenar los PAN sin procesar a menudo pueden reunir los requisitos para un Cuestionario de autoevaluación (SAQ) del estándar PCI DSS más corto.

• Los tokens de red añaden una vinculación criptográfica y actualizaciones automáticas del ciclo de vida que los tokens emitidos por empresas no proporcionan por sí solos.

¿Qué es la tokenización PCI?

La tokenización PCI reemplaza los dígitos impresos en una tarjeta de pago con un token: un valor sustituto que parece un número de tarjeta pero que no tiene ningún valor explotable por sí solo. El token es lo que se mueve a través de los sistemas de una empresa, mientras que los PAN se almacenan por separado en una bóveda.

¿De qué manera la tokenización PCI reduce el alcance del estándar PCI DSS?

Una vez que un sistema deja de almacenar, procesar o transmitir PAN y maneja únicamente tokens, la mayor parte de esa infraestructura puede trasladarse fuera del entorno de los datos del titular de la tarjeta y no está sujeta al estándar PCI DSS. Si un sistema solo aloja tokens, no hay ningún PAN que se deba cifrar, no hay claves de cifrado que administrar en ese sistema ni nada relevante que incluir en la supervisión de integridad de archivos. Tanto Visa como Mastercard reconocen la tokenización como un control aprobado en sus propios estándares de seguridad. El estándar PCI DSS hace referencia directa a la tokenización en su guía para hacer que los PAN sean ilegibles en cualquier lugar en el que estén almacenados.

Con la tokenización, la bóveda de tokens en sí, cualquier sistema que gestione la captura de la tarjeta antes de que ocurra la tokenización y cualquier elemento con la capacidad técnica de revertir un token a un PAN deben mantenerse dentro del alcance. El operador de la bóveda necesita su propia validación de PCI DSS, generalmente como proveedor de servicios de Nivel 1, lo que significa un Informe de cumplimiento normativo anual de un asesor de seguridad calificado en lugar de una autoevaluación. Una empresa que confía en una bóveda de terceros hereda parte de esa garantía, pero aun así documenta la relación en su propia declaración, normalmente a través de una matriz de responsabilidad compartida en la que se explica qué requisitos cubre el operador de la bóveda y cuáles recaen en la empresa.

Incluso si la tokenización maneja el grueso de la protección de datos del titular de la tarjeta, algunas categorías de requisitos no desaparecen. El requisito 12, que cubre la política de seguridad y la respuesta ante incidentes, se sigue aplicando a cualquier empresa que acepte pagos con tarjeta. La segmentación de redes del requisito 1, la seguridad física en torno a terminales de tarjeta presente, los controles de acceso de los empleados y la higiene general, la aplicación de parches, los firewalls y el software antivirus en cualquier sistema que toque el flujo de pago antes de la tokenización siguen vigentes.

La tokenización también puede afectar a cómo una empresa valida el cumplimiento de la normativa PCI DSS, que se hace a través de un SAQ o un Informe de cumplimiento normativo. Una empresa que almacena los PAN completos en sus propios servidores normalmente se enmarca en el SAQ D, que cubre todos los requisitos del estándar PCI DSS. Por el contrario, una que tokeniza en el punto de entrada y nunca almacena un PAN sin cifrar puede, a menudo, reunir los requisitos para las versiones más simples, el SAQ A o el SAQ A-EP.

¿Cómo funciona la tokenización PCI en la práctica?

La mecánica de la tokenización PCI se reduce a cuatro pasos: captura, cambio, almacenamiento y reutilización.

En primer lugar, el sistema confirma que la entrada es un número de tarjeta estructuralmente válido, que normalmente consta de 13 a 19 dígitos, e identifica la marca de la tarjeta y la red emisora. Luego, crea el token sustituto, que puede ser aleatorio o preservar el formato (de modo que el token pueda pasar por las bases de datos existentes y por las herramientas de elaboración de informes sin romper las suposiciones de longitud o formato integradas en los sistemas más antiguos).

El PAN real y su token correspondiente se escriben en una bóveda cifrada, y las claves de cifrado se administran por separado, a menudo dentro de un módulo de seguridad de hardware. El valor sustituto se queda en los otros sistemas de la empresa, donde reemplaza el PAN para cualquier referencia futura.

Cuando un cargo debe ejecutarse, el sistema de tokenización destokeniza el valor de forma interna, dirige el PAN real a la red de tarjetas para obtener la autorización y nunca lo expone a los sistemas que iniciaron la solicitud. Las herramientas de conciliación pueden asociar las transacciones con el token, ya que se asigna sistemáticamente al mismo PAN subyacente durante toda la vida útil de esa relación de tarjeta.

¿En qué se diferencia la tokenización de la red de la tokenización PCI basada en el comerciante?

Un token emitido por una empresa, que se genera en la propia empresa o en un proveedor de servicios de pago en su nombre, existe completamente dentro de la pila de software de pago de esa empresa. Este se asigna a un PAN dentro de una bóveda que operan la empresa o su proveedor y, por lo general, solo funciona dentro de ese sistema. Resuelve el problema de almacenamiento del estándar PCI DSS correctamente, pero no sirve para mucho más que eso.

Un token de red proviene de la propia red de tarjetas. Estos tokens están vinculados criptográficamente a un dispositivo, empresa o canal específico a través de un ID de solicitante de tokens, por lo que un token aprovisionado para el proceso de compra de una empresa no se puede reproducir en otro lugar, incluso si se filtró. Los tokens de red también se actualizan solos: si la tarjeta de un cliente se vuelve a emitir tras una denuncia de pérdida de tarjeta o si se vence, la red envía el token actualizado automáticamente.

Ambos enfoques cumplen con la normativa, ya que ambos eliminan el PAN sin procesar del entorno de la empresa. La diferencia se ve más allá del cumplimiento de la normativa. Los tokens de red tienden a producir tasas de autorización más altas porque los emisores pueden verificar la vinculación criptográfica y confiar en el contexto de la transacción, y minimizan las renovaciones fallidas que provienen de los rechazos por tarjetas vencidas.

¿La tokenización PCI es adecuada para tu empresa?

La respuesta sincera depende de cuántos datos del titular de la tarjeta toquen los propios sistemas de la empresa en la actualidad.

Estos son algunos de los casos en los que la tokenización resulta más beneficiosa:

• Transacciones recurrentes o de tarjeta almacenada: las empresas de suscripciones, las plataformas de membresías y todo lo que almacene una tarjeta para cargos futuros son las que más se benefician de mover los PAN fuera de sus propios entornos.

• Múltiples sistemas internos que acceden a datos de pago: si las herramientas de atención al cliente, el análisis y la gestión de pedidos necesitan consultar una transacción, los tokens les permiten hacerlo sin ampliar el entorno de los datos del titular de la tarjeta para cubrir cada uno de ellos.

• Recursos de seguridad internos limitados: las empresas sin equipos dedicados se benefician de descargar el almacenamiento del PAN y la gestión de claves a un operador de bóveda certificado en lugar de tener que crear esa infraestructura ellos mismos.

• Planes para reducir las tasas de rechazos de tarjetas almacenadas: las empresas que experimentan problemas de autorización o de renovación a causa de tarjetas vencidas deben confirmar que sus sistemas de tokenización admiten tokens de red en lugar de solo tokens a nivel de la empresa.

Las empresas que utilizan Stripe ya obtienen tokenización PCI de forma predeterminada, integrada en las integraciones del proceso de compra, en los campos alojados y en los métodos de pago guardados. Por lo general, la decisión práctica no es si se debe tokenizar, sino si la integración actual mantiene los PAN sin procesar completamente fuera de los servidores de la empresa; confirmar esto, junto con qué SAQ corresponde, abarca la mayor parte de la evaluación pragmática.

Cómo puede ayudar Stripe Payments

Stripe Payments proporciona una solución de pagos unificada y global que ayuda a cualquier empresa, desde startups en expansión hasta empresas globales, a aceptar pagos en línea, en persona y en todo el mundo.

Con Stripe Payments, puedes hacer lo siguiente:

• Optimiza tu experiencia de proceso de compra: crea una experiencia del cliente sin fricciones y ahorra miles de horas de ingeniería con interfaces de usuario de pago prediseñadas, acceso a más de 125 métodos de pago y Link, una cartera digital desarrollada por Stripe.

• Llegar a nuevos mercados más rápido: conéctate con clientes de todo el mundo y reduce la complejidad y los costos de la gestión de múltiples monedas mediante opciones de pago transfronterizas, disponibles en 195 países y en más de 135 monedas.

• Unificar los pagos en persona y en línea: crea una experiencia de comercio unificado en todos los canales, tanto en línea como en persona, para personalizar las interacciones, recompensar la lealtad y aumentar los ingresos.

• Mejorar el rendimiento de los pagos: aumenta los ingresos con una gama de herramientas de pago personalizables y que no requieren programación, que incluyen protección contra fraudes y que no requieren programación y funcionalidades avanzadas para mejorar las tasas de autorización.

• Avanzar más rápido con una plataforma flexible y confiable para el crecimiento: desarrolla tu negocio a partir de una plataforma diseñada para crecer contigo, con un tiempo de actividad histórico del 99.999 % y una confiabilidad líder en el sector.

Obtén más información sobre cómo Stripe Payments puede potenciar tus pagos en línea y en persona, o empieza hoy.