La tokenizzazione PCI è la pratica di sostituire un primary account number (PAN) con un valore surrogato (un token) che non ha alcun valore sfruttabile. La tokenizzazione è diventata il meccanismo tipico per soddisfare i requisiti di protezione dei dati del titolare della carta del Payment Card Industry Data Security Standard (PCI DSS) perché un sistema che conserva solo token generalmente non rientra nell'ambito di applicazione dello standard completo.

Questa distinzione, tra i sistemi che gestiscono i numeri di carta in chiaro e i sistemi che vedono solo token, determina in che misura il PCI DSS si applica a una determinata attività. Ciò è importante per la sicurezza del pagamento, dato che il costo di una violazione dei dati PCI può variare da 5.000 $ a oltre 500.000 $.

Di seguito, spiegheremo in che modo la tokenizzazione PCI supporta la compliance, cosa accade a livello tecnico dal momento in cui viene inserita una carta al momento in cui viene restituito un token e i vantaggi che i token del Network presentano rispetto ai token emessi dalle attività.

In sintesi

• I token sostituiscono i PAN con valori surrogati che non possono essere invertiti al di fuori di un vault certificato.

• Le attività che smettono di memorizzare i PAN in chiaro possono spesso qualificarsi per un questionario (Self-Assessment Questionnaire, SAQ) PCI DSS più breve.

• I token del Network aggiungono un'associazione crittografica e aggiornamenti automatici del ciclo di vita che i token emessi dalle attività non forniscono da soli.

Cos'è la tokenizzazione PCI?

La tokenizzazione PCI sostituisce le cifre stampate su una carta di pagamento con un token: un valore sostitutivo che assomiglia a un numero di carta ma non ha alcun valore sfruttabile di per sé. Il token è ciò che si muove attraverso i sistemi di un'attività, mentre i PAN vengono archiviati separatamente in un caveau.

In che modo la tokenizzazione PCI riduce l'ambito PCI DSS?

Una volta che un sistema smette di archiviare, elaborare o trasmettere PAN e gestisce solo token, la maggior parte di tale infrastruttura può spostarsi al di fuori dell'ambiente dei dati del titolare della carta e non è soggetta allo standard PCI DSS. Se un sistema contiene solo token, non c'è nessun PAN da crittografare, nessuna chiave di crittografia da gestire su quel sistema e nulla di rilevante da includere nel monitoraggio dell'integrità dei file. Sia Visa che Mastercard riconoscono la tokenizzazione come controllo approvato nei propri standard di sicurezza. Il PCI DSS fa riferimento direttamente alla tokenizzazione nelle sue linee guida per rendere illeggibili i PAN ovunque siano archiviati.

Con la tokenizzazione, il caveau di token stesso, qualsiasi sistema che gestisce l'acquisizione della carta prima che avvenga la tokenizzazione e tutto ciò che ha la capacità tecnica di stornare un token in un PAN, devono tutti rimanere in ambito. L'operatore del caveau ha bisogno della propria convalida PCI DSS, solitamente come fornitore di servizi di Livello 1, il che significa un Rapporto annuale sulla conformità da parte di un Qualified Security Assessor anziché un'autovalutazione. Un'attività che si affida a un caveau di terze parti eredita parte di tale garanzia, ma documenta comunque la relazione nella propria attestazione, in genere tramite una matrice di responsabilità condivisa che spiega quali requisiti copre l'operatore del caveau e quali spettano all'attività.

Anche con la tokenizzazione che gestisce la maggior parte della protezione dei dati del titolare della carta, alcune categorie di requisiti non scompaiono. Il Requisito 12, che copre la politica di sicurezza e la risposta agli incidenti, si applica ancora a qualsiasi attività che accetta pagamenti con carta. La segmentazione della rete ai sensi del Requisito 1, la sicurezza fisica intorno ai terminali con carta presente, i controlli di accesso dei dipendenti e l'igiene generale, le patch, i firewall e i software antivirus su qualsiasi sistema che tocca il flusso di pagamento prima della tokenizzazione, sono tutti ancora in vigore.

La tokenizzazione può anche influire sul modo in cui un'attività convalida la compliance PCI DSS, il che viene fatto tramite un questionario SAQ o un Report on Compliance. Un'attività che archivia PAN completi sui propri server in genere rientra nel questionario SAQ D, che copre l'intero set di requisiti PCI DSS. Un'attività che esegue la tokenizzazione al momento dell'inserimento e non archivia mai un PAN non crittografato può spesso qualificarsi per le versioni più semplici, SAQ A o SAQ A-EP.

Come funziona in pratica la tokenizzazione PCI?

I meccanismi della tokenizzazione PCI si riducono a quattro passaggi: acquisizione, scambio, archiviazione e riutilizzo.

In primo luogo, il sistema conferma che l'inserimento è un numero di carta strutturalmente valido, in genere di 13-19 cifre, e identifica il circuito della carta e il Network emittente. Quindi, crea il token sostitutivo, che è casuale o che mantiene il formato (in modo che il token possa passare attraverso i database e gli strumenti di reportistica esistenti senza interrompere i presupposti di lunghezza o formato incorporati nei sistemi più vecchi).

Il vero PAN e il suo corrispondente token vengono scritti in un caveau crittografato, con le chiavi di crittografia gestite separatamente, spesso all'interno di un modulo di sicurezza hardware. Il valore sostitutivo rimane negli altri sistemi dell'attività, dove sostituisce il PAN per qualsiasi riferimento futuro.

Quando è necessario elaborare un addebito, il sistema di tokenizzazione detokenizza internamente il valore, instrada il vero PAN al circuito della carta per l'autorizzazione e non lo espone mai ai sistemi che hanno avviato la richiesta. Gli strumenti di riconciliazione possono associare le transazioni utilizzando il token, poiché mappa costantemente allo stesso PAN sottostante per l'intera durata della relazione con la carta.

In che modo la tokenizzazione di rete differisce dalla tokenizzazione PCI basata sull'esercente?

Un token emesso dall'attività, generato dall'attività stessa o da un fornitore di servizi di pagamento per suo conto, esiste interamente all'interno dello stack di pagamento di quell'attività. Mappa a un PAN all'interno di un caveau gestito dall'attività o dal suo fornitore e in genere funziona solo all'interno di quel sistema. Risolve bene il problema di archiviazione PCI DSS, ma non fa molto di più.

Un token di rete proviene dal circuito della carta stesso. Questi token sono crittograficamente associati a un dispositivo, un'attività o un canale specifici tramite un ID richiedente del token, in modo che un token fornito per il checkout di un'attività non possa essere riprodotto altrove, nemmeno se venisse divulgato. Anche i token di rete si aggiornano da soli: se la carta di un cliente viene riemessa in seguito a una segnalazione di smarrimento o scade, la rete invia automaticamente il token aggiornato.

Entrambi gli approcci sono conformi poiché entrambi rimuovono il PAN grezzo dall'ambiente dell'attività. La differenza si manifesta al di là della compliance. I token di rete tendono a produrre tassi di autorizzazione più elevati perché le società di emissione possono verificare l'associazione crittografica e fidarsi del contesto della transazione, riducendo al minimo i mancati rinnovi derivanti dai pagamenti rifiutati per carte scadute.

La tokenizzazione PCI è adatta alla tua attività?

La risposta onesta dipende da quanti dati del titolare della carta toccano i sistemi dell'attività oggi.

Ecco alcuni scenari in cui la tokenizzazione offre i maggiori vantaggi:

• Transazioni ricorrenti o con carta salvata: Le attività in abbonamento, le piattaforme in abbonamento e qualsiasi sistema che memorizza una carta per addebiti futuri traggono il massimo vantaggio dallo spostamento dei PAN fuori dai propri ambienti.

• Molteplici sistemi interni che toccano i dati di pagamento: se gli strumenti di assistenza clienti, le analisi e la gestione degli ordini devono fare riferimento a una transazione, i token consentono loro di farlo senza espandere l'ambiente dei dati dei titolari della carta per coprirli tutti.

• Risorse di sicurezza interne limitate: le attività senza team dedicati traggono vantaggio dall'affidare l'archiviazione del PAN e la gestione delle chiavi a un operatore di caveau certificato anziché creare da sole quell'infrastruttura.

• Piani per ridurre i tassi di pagamento rifiutato per le carte salvate: le attività che riscontrano problemi di autorizzazione o rinnovo per carte scadute dovrebbero verificare che i loro sistemi di tokenizzazione supportino i token di rete anziché solo quelli a livello di attività.

Le attività che utilizzano Stripe ottengono già la tokenizzazione PCI per impostazione predefinita, integrata nelle integrazioni di checkout, nei campi ospitati e nei metodi di pagamento salvati. La decisione pratica di solito non è se tokenizzare o meno, ma se l'integrazione attuale tiene i PAN grezzi completamente fuori dai server dell'attività stessa e confermarlo, insieme a quale SAQ si applica, copre la maggior parte della valutazione pragmatica.

In che modo Stripe Payments può esserti d'aiuto

Stripe Payments offre una soluzione di pagamento unificata e globale che aiuta qualsiasi attività, dalle start-up in fase di espansione alle multinazionali, ad accettare pagamenti online, di persona e in tutto il mondo.

Con Stripe Payments puoi:

• Ottimizza la tua esperienza di checkout: crea un'esperienza cliente fluida e risparmia migliaia di ore di ingegneria con le interfacce utente di pagamento predefinite, l'accesso a oltre 125 metodi di pagamento e Link, un wallet integrato da Stripe.

• Espanderti più rapidamente in nuovi mercati: raggiungi clienti in tutto il mondo e riduci le complessità e i costi della gestione multivaluta con opzioni di pagamento transfrontaliere, disponibili in 195 Paesi e in oltre 135 valute.

• Unificare i pagamenti di persona e online: crea un'esperienza di commercio unificato su canali online e di persona per personalizzare le interazioni, premiare la fedeltà e aumentare i ricavi.

• Migliorare le prestazioni dei pagamenti: aumenta i ricavi con una gamma di strumenti di pagamento personalizzabili e facili da configurare, tra cui la protezione contro le frodi no-code e funzionalità avanzate per migliorare i tassi di autorizzazione.

• Operare più velocemente con una piattaforma flessibile e affidabile per la crescita: utilizza una piattaforma progettata per crescere insieme a te, con tempi di operatività del 99,999% e un'affidabilità leader nel settore.

Scopri di più su come Stripe Payments può supportare i tuoi pagamenti online e di persona oppure inizia oggi stesso.