Datamaskering en tokenisatie beschermen beide gevoelige gegevens, maar ze lossen verschillende problemen op. Maskering vervangt een echte waarde door een fictieve waarde die niet naar het origineel kan worden herleid. Dit is handig voor testen, ontwikkeling en analytics. Tokenisatie vervangt een echte waarde door een token dat via een beveiligde kluis naar het origineel kan worden herleid. Dit maakt het de standaard voor de verwerking van betaalkaartgegevens in Live betalingssystemen.

Als je de twee door elkaar haalt of de een gebruikt waar de ander hoort, kan dit aan de ene kant tot gebroken workflows leiden en aan de andere kant tot onnodige blootstelling. Erger nog, inefficiënte gegevensbeveiliging kan bijdragen aan datalekken, die gemiddeld $ 5 miljoen kosten en meer dan 280 dagen in beslag nemen om te beheersen.

Hieronder leggen we uit hoe elke methode werkt, waar de twee verschillen op het gebied van omkeerbaarheid en toepassingen en hoe je kunt bepalen welke methode je onderneming voor een bepaalde dataset nodig heeft.

Kernpunten

• Datamaskering vervangt gevoelige waarden permanent door realistische fictieve waarden. Daardoor is dit uitermate geschikt voor niet-productieomgevingen, zoals testen en analytics.

• Tokenisatie vervangt gevoelige waarden door tokens die via een beveiligde kluis naar het origineel te herleiden zijn. Dit maakt het de standaard voor de bescherming van betaalkaartgegevens bij Live transacties.

• Als je de verkeerde methode voor een bepaalde dataset kiest, kan dit de functionaliteit breken of onnodige compliance blootstelling creëren. De juiste keuze is afhankelijk van de vraag of de echte waarde opvraagbaar moet zijn.

Wat is datamaskering in vergelijking met tokenisatie

Datamaskering verwisselt een echte waarde voor een nepwaarde die op het origineel lijkt en zich zo gedraagt, maar er niet mee in verbinding staat. In de context van betalingsbeveiliging verbergt datamaskering gegevens van de kaarthouder en andere gevoelige gegevens.

Tokenisatie vervangt een gevoelige waarde door een willekeurig gegenereerd token en slaat vervolgens de koppeling tussen het token en het origineel op in een aparte, streng gecontroleerde kluis. Het token heeft geen wiskundige relatie met de originele waarde. Iemand die een token steelt, heeft niets bruikbaars zonder toegang tot die kluis.

Wat de verschillen tussen datamaskering en tokenisatie zijn

Het verschil komt neer op de vraag of de echte waarde ergens opvraagbaar moet zijn zodat het systeem blijft werken.

Hier zijn de functies die bepalen welke methode geschikt is:

• Omkeerbaarheid: gemaskeerde gegevens kunnen niet naar de oorspronkelijke waarde worden herleid. Getokeniseerde gegevens wel, via de kluis die het token heeft uitgegeven.

• Toepassing: maskering past bij niet-productieomgevingen, zoals testen, ontwikkeling en analytics. Tokenisatie is geschikt voor Live productieworkflows waarbij een onderneming op echte gegevens moet reageren zonder deze direct op te slaan.

• Scope van bescherming: maskering beschermt gegevens die niet langer de realiteit hoeven weer te geven. Tokenisatie beschermt gegevens die nog steeds moeten functioneren alsof ze echt zijn, maar zonder in de eigen systemen van de onderneming te zijn opgeslagen.

• Toepasbaarheid in de regelgeving: maskering helpt om aan de principes van dataminimalisatie te voldoen in frameworks zoals de Algemene verordening gegevensbescherming (AVG) in de EU door echte persoonsgegevens te verwijderen uit omgevingen die deze niet nodig hebben. Tokenisatie is het mechanisme dat de Payment Card Industry Data Security Standard (PCI DSS) expliciet vermeldt voor de beperking van de scope van een compliancebeoordeling voor een onderneming.

Wanneer je datamaskering of tokenisatie gebruikt

Gebruik maskering wanneer een echte waarde geen functionele rol speelt in de omgeving waar deze wordt gebruikt. Een developer die een nieuwe afrekenpagina test, een analist die een verloopmodel bouwt en een QA-engineer die geautomatiseerde testsuites uitvoert, hebben allemaal gegevens nodig die zich gedragen als de echte gegevens zonder het te zijn. Maskering biedt dat en neemt het risico volledig weg, omdat er niets meer overblijft om bloot te stellen.

Gebruik tokenisatie wanneer de onderneming later daadwerkelijk actie moet ondernemen op de gevoelige waarde. Die behoefte wordt in een paar scenario's duidelijk:

• Terugkerende facturatie: een abonnementsonderneming die maandelijkse betalingen verwerkt, heeft een manier nodig om elke cyclus dezelfde betaalkaart te factureren zonder het kaartnummer zelf op te slaan.

• Terugbetalingen en geschillen: een klantenserviceteam dat een terugbetaling uitvoert, moet naar een specifieke transactie verwijzen zonder het volledige primaire accountnummer (PAN) op te roepen.

• Afrekenproces voor opgeslagen betaalkaarten: een terugkerende klant verwacht een aankoopervaring met één klik. Dit werkt alleen als een token een kaartnummer vervangt dat de onderneming nooit zelf in het bezit heeft.

In elk geval zou maskering niet werken, omdat een gemaskeerde waarde niet kan worden onthuld om de betaling te voltooien.

Wat de risico's zijn als je de verkeerde methode voor de bescherming van gevoelige gegevens kiest

Als je maskering gebruikt waar tokenisatie hoort, breekt dit direct de functionaliteit. Een systeem voor terugkerende facturatie dat op gemaskeerde betaalkaartgegevens is gebouwd, heeft geen manier om de klant de volgende maand te laten betalen, omdat de waarde die dat mogelijk maakt nergens meer bestaat.

Als je tokenisatie gebruikt waar maskering hoort, ontstaat er een ander soort probleem: onnodige blootstelling. Als een staging-systeem getokeniseerde productiegegevens ophaalt in plaats van gemaskeerde gegevens en die omgeving niet dezelfde toegangscontroles als productie heeft, heeft de onderneming de echte gegevens van de kaarthouder zonder praktisch nut naar een minder beveiligde instelling uitgebreid. Compliance auditors kunnen dit patroon signaleren, omdat het systemen binnen de PCI-scope trekt die daar nooit hoefden te zijn.

Hoe bepaal je welke methode bij je onderneming past

Begin voor elke dataset met één vraag: heeft een downstream-systeem de echte waarde terug nodig? Als het antwoord nee is, is maskering de eenvoudigste en juiste tool. Als het antwoord ja is, is tokenisatie de extra infrastructuur waard omdat omkeerbaarheid een onvermijdelijke vereiste is.

Enkele controles helpen de beslissing te bevestigen:

• Het datagebruik traceren: noem elk systeem dat de waarde aanraakt en of elk systeem de echte gegevens nodig heeft of iets dat erop lijkt.

• De driver voor compliance controleren: als beperking van de PCI DSS-scope het doel is, is tokenisatie voor betalingen het mechanisme dat toezichthouders erkennen. Dataminimalisatie in AVG-stijl in testomgevingen wijst eerder in de richting van maskering.

• Naar de scheiding van omgevingen kijken: productiesystemen die Live transacties verwerken, vereisen doorgaans tokenisatie. Niet-productieomgevingen vereisen over het algemeen maskering. Het mengen van de twee zonder duidelijke reden zorgt vaak voor meer risico dan het oplost.

Voor ondernemingen die Stripe gebruiken, is een deel van deze beslissing al genomen voor betaalgegevens die via Stripe-integraties zijn verzameld. De PAN wordt bij verzameling getokeniseerd en de onderneming hoeft die laag nooit zelf te bouwen. De onderneming hoeft alleen maar te beslissen wat ze met de rest van de gevoelige gegevens wil doen, zoals interne records van klanten die in tests of analytics worden gebruikt en waar maskering meestal voldoende is.

Hoe Stripe Payments kan helpen

Stripe Payments biedt een uniforme, wereldwijde betaaloplossing die elke onderneming, van groeiende start-ups tot internationale ondernemingen, helpt om online, fysiek en wereldwijd betalingen te ontvangen.

Stripe Payments kan je helpen:

• Je afrekenproces optimaliseren: creëer een soepele klantervaring en bespaar duizenden engineeringuren met kant-en-klare betalings-UI's, toegang tot meer dan 125 betaalmethoden en Link, een Digitale wallet van Stripe.

• Sneller uit te breiden naar nieuwe markten: bereik klanten over de hele wereld en verminder de complexiteit en kosten van multivalutabeheer met grensoverschrijdende betaalopties, beschikbaar in 195 landen in 135+ valuta.

• Fysieke en online betalingen samen te voegen: bouw een unified commerce-ervaring op via online en fysieke kanalen om interacties te personaliseren, loyaliteit te belonen en inkomsten te laten groeien.

• De betaalprestaties te verbeteren: verhoog inkomsten met een reeks aanpasbare, eenvoudig te configureren betaaltools, waaronder fraudebescherming zonder code en geavanceerde mogelijkheden om autorisatiepercentages te verbeteren.

• Sneller te werken met een flexibel, betrouwbaar platform voor groei: bouw voort op een platform dat is ontworpen om met jou mee te groeien, met een historische uptime van 99,999% en toonaangevende betrouwbaarheid.

Lees meer over hoe Stripe Payments je online en fysieke betalingen kan ondersteunen of ga vandaag nog aan de slag.