การแปลงเป็นโทเค็น PCI คือการแทนที่หมายเลขบัญชีหลัก (PAN) ด้วยค่าที่เป็นตัวแทน (โทเค็น) ซึ่งไม่มีมูลค่าที่จะนำไปหาประโยชน์ได้ การแปลงเป็นโทเค็นกลายเป็นกลไกทั่วไปที่ใช้เพื่อให้เป็นไปตามข้อกำหนดด้านการคุ้มครองข้อมูลของเจ้าของบัตรสำหรับ Payment Card Industry Data Security Standard (PCI DSS) เนื่องจากระบบที่เก็บรักษาไว้เพียงโทเค็นมักจะไม่อยู่ในขอบเขตของมาตรฐานที่สมบูรณ์

ความแตกต่างระหว่างระบบที่เข้าถึงหมายเลขบัตรที่แท้จริงกับระบบที่เห็นเพียงโทเค็น เป็นตัวกำหนดว่าธุรกิจจะต้องปฏิบัติตาม PCI DSS มากน้อยเพียงใด สิ่งนี้มีความสำคัญต่อความปลอดภัยของการชำระเงิน เนื่องจากค่าใช้จ่ายที่เกิดจากข้อมูล PCI รั่วไหลอาจมีตั้งแต่ 5,000 ดอลลาร์สหรัฐไปจนถึงมากกว่า 500,000 ดอลลาร์สหรัฐ

ต่อไปนี้เราจะพูดถึงวิธีที่การแปลงเป็นโทเค็น PCI ช่วยสนับสนุนการปฏิบัติตามข้อกำหนด สิ่งที่เกิดขึ้นในทางเทคนิคตั้งแต่ตอนที่มีการกรอกข้อมูลบัตรไปจนถึงตอนที่ได้โทเค็นกลับมา และข้อดีของโทเค็นเครือข่ายที่มีเหนือกว่าโทเค็นที่ออกโดยธุรกิจ

ประเด็นสำคัญ

• โทเค็นจะแทนที่ PAN ด้วยค่าตัวแทนที่ไม่อาจแปลงกลับได้หากอยู่นอกห้องนิรภัยที่ได้รับการรับรอง

• ธุรกิจที่เลิกเก็บข้อมูล PAN จริงมักจะมีสิทธิ์ทำแบบสอบถามการประเมินตนเอง (SAQ) ของ PCI DSS ที่สั้นลงได้

• โทเค็นเครือข่ายจะเพิ่มการผูกมัดด้วยการเข้ารหัสลับและการอัปเดตวงจรการใช้งานอัตโนมัติ ซึ่งโทเค็นที่ออกโดยธุรกิจไม่มีให้ในตัวเอง

การแปลงเป็นโทเค็นสำหรับ PCI คืออะไร

การแปลงเป็นโทเค็นสำหรับ PCI จะแทนที่ตัวเลขที่พิมพ์บนบัตรชำระเงินด้วยโทเค็น ซึ่งเป็นค่าตัวแทนที่ดูเหมือนหมายเลขบัตร แต่ไม่มีมูลค่าในการนำไปหาผลประโยชน์ด้วยตัวเอง โทเค็นคือสิ่งที่เคลื่อนย้ายผ่านระบบของธุรกิจ ในขณะที่ข้อมูล PAN จะถูกจัดเก็บแยกไว้ในระบบจัดเก็บข้อมูล

การแปลงเป็นโทเค็นสำหรับ PCI ช่วยลดขอบเขต PCI DSS ได้อย่างไร

เมื่อระบบหยุดจัดเก็บ ประมวลผล หรือส่งข้อมูล PAN และจัดการเฉพาะโทเค็น โครงสร้างพื้นฐานส่วนใหญ่จะถูกย้ายออกไปอยู่นอกสภาพแวดล้อมข้อมูลเจ้าของบัตรและไม่ต้องอยู่ภายใต้มาตรฐาน PCI DSS หากระบบถือครองเฉพาะโทเค็น จะไม่มีข้อมูล PAN ให้เข้ารหัส ไม่มีคีย์เข้ารหัสให้จัดการบนระบบนั้น และไม่มีส่วนที่เกี่ยวข้องให้รวมอยู่ในการตรวจสอบความสมบูรณ์ของไฟล์ Visa และ Mastercard ต่างก็ให้การยอมรับการแปลงเป็นโทเค็นเป็นระบบควบคุมที่ได้รับอนุมัติในมาตรฐานความปลอดภัยของตน PCI DSS อ้างอิงถึงการแปลงเป็นโทเค็นโดยตรงในคำแนะนำเกี่ยวกับการทำให้ข้อมูล PAN ไม่สามารถอ่านได้ในทุกที่ที่จัดเก็บ

ด้วยการแปลงเป็นโทเค็น ระบบจัดเก็บโทเค็นเอง ระบบที่จัดการกับการเก็บข้อมูลบัตรก่อนที่จะเกิดการแปลงเป็นโทเค็น และระบบที่มีความสามารถทางเทคนิคในการปรับคืนโทเค็นกลับเป็น PAN จำเป็นต้องอยู่ในขอบเขต ผู้ดูแลระบบจัดเก็บข้อมูลจำเป็นต้องมีการตรวจสอบความถูกต้องของ PCI DSS ของตนเอง ซึ่งมักจะอยู่ในระดับ 1 ในฐานะผู้ให้บริการ โดยจะหมายถึงรายงานการปฏิบัติตามข้อกำหนดประจำปีจากผู้ประเมินด้านความปลอดภัยที่มีคุณสมบัติเหมาะสมมากกว่าการประเมินตนเอง ธุรกิจที่พึ่งพาระบบจัดเก็บข้อมูลของบุคคลที่สามจะได้รับการรับรองบางส่วน แต่ยังคงบันทึกความสัมพันธ์ไว้ในการรับรองของตนเอง ซึ่งมักจะผ่านเมทริกซ์ความรับผิดชอบร่วมกันที่อธิบายถึงข้อกำหนดที่ผู้ดูแลระบบจัดเก็บข้อมูลครอบคลุมและข้อกำหนดที่ธุรกิจต้องรับผิดชอบ

แม้ว่าการแปลงเป็นโทเค็นจะจัดการการคุ้มครองข้อมูลเจ้าของบัตรส่วนใหญ่ แต่หมวดหมู่ข้อกำหนดบางข้อก็ไม่ได้หายไป ข้อกำหนดที่ 12 ซึ่งครอบคลุมนโยบายด้านความปลอดภัยและการรับมือกับเหตุการณ์ ยังคงมีผลกับทุกธุรกิจที่รับการชำระเงินด้วยบัตร การแบ่งส่วนเครือข่ายภายใต้ข้อกำหนดที่ 1 ความปลอดภัยทางกายภาพบริเวณเครื่องอ่านบัตร การควบคุมการเข้าถึงของพนักงาน และสุขอนามัยทั่วไป การแก้ไขข้อบกพร่อง ไฟร์วอลล์ และซอฟต์แวร์ป้องกันไวรัสในทุกระบบที่เกี่ยวข้องกับขั้นตอนการชำระเงินก่อนการแปลงเป็นโทเค็นยังคงมีอยู่

การแปลงเป็นโทเค็นยังอาจส่งผลกระทบต่อวิธีที่ธุรกิจตรวจสอบการปฏิบัติตามข้อกำหนด PCI DSS ซึ่งดำเนินการผ่าน SAQ หรือรายงานการปฏิบัติตามข้อกำหนด ธุรกิจที่จัดเก็บข้อมูล PAN แบบเต็มบนเซิร์ฟเวอร์ของตนเองมักจะอยู่ภายใต้ SAQ D ซึ่งครอบคลุมชุดข้อกำหนด PCI DSS ฉบับเต็ม ธุรกิจที่แปลงเป็นโทเค็นที่จุดป้อนข้อมูลและไม่เคยจัดเก็บข้อมูล PAN ที่ไม่ได้เข้ารหัสอาจมีคุณสมบัติเหมาะสมสำหรับเวอร์ชันที่ง่ายกว่า เช่น SAQ A หรือ SAQ A-EP แทน

การแปลงเป็นโทเค็นสำหรับ PCI ทำงานอย่างไรในทางปฏิบัติ

กลไกของการแปลงเป็นโทเค็นสำหรับ PCI ประกอบด้วย 4 ขั้นตอน ได้แก่ การดักจับ การเปลี่ยนข้อมูล การจัดเก็บ และการใช้งานซ้ำ

ประการแรก ระบบจะยืนยันว่ารายการเป็นหมายเลขบัตรที่ถูกต้องตามโครงสร้าง โดยทั่วไปคือ 13–19 หลัก และระบุแบรนด์บัตรและเครือข่ายผู้ออกบัตร จากนั้นจะสร้างโทเค็นตัวแทน ซึ่งเป็นแบบสุ่มหรือรักษารูปแบบ (เพื่อให้โทเค็นสามารถส่งผ่านฐานข้อมูลปัจจุบันและเครื่องมือการรายงานได้โดยไม่ทำให้ความยาวหรือข้อสมมติฐานเกี่ยวกับรูปแบบที่สร้างขึ้นในระบบเก่าเสียหาย)

ข้อมูล PAN จริงและโทเค็นที่เกี่ยวข้องจะถูกเขียนลงในระบบจัดเก็บข้อมูลที่เข้ารหัสไว้ โดยที่คีย์เข้ารหัสจะได้รับการจัดการแยกต่างหาก ซึ่งมักจะอยู่ภายในโมดูลความปลอดภัยของฮาร์ดแวร์ ค่าตัวแทนจะอยู่ในระบบอื่นๆ ของธุรกิจ ซึ่งจะใช้แทนที่ข้อมูล PAN สำหรับการอ้างอิงในอนาคต

เมื่อจำเป็นต้องเรียกเก็บเงิน ระบบการแปลงเป็นโทเค็นจะยกเลิกการแปลงเป็นโทเค็นภายใน นำส่งข้อมูล PAN จริงไปยังเครือข่ายบัตรเพื่อขอการอนุมัติ และไม่เปิดเผยข้อมูลดังกล่าวต่อระบบที่เริ่มคำขอ เครื่องมือการกระทบยอดสามารถจับคู่ธุรกรรมโดยใช้โทเค็น เนื่องจากเครื่องมือจะจับคู่กับข้อมูล PAN พื้นฐานเดียวกันเสมอตามระยะเวลาของความสัมพันธ์ของบัตรนั้น

การแปลงเป็นโทเค็นเครือข่ายแตกต่างจากการแปลงเป็นโทเค็นสำหรับ PCI ผ่านผู้ค้าอย่างไร

โทเค็นที่ธุรกิจออกให้ ซึ่งสร้างโดยธุรกิจเองหรือโดยผู้ให้บริการชำระเงินในนามของธุรกิจ มีอยู่ภายในสแต็กการชำระเงินของธุรกิจนั้นทั้งหมด โดยจะจับคู่กับข้อมูล PAN ภายในระบบจัดเก็บข้อมูลที่ธุรกิจหรือผู้ให้บริการดำเนินการ และโดยปกติจะทำงานเฉพาะภายในระบบนั้นเท่านั้น ซึ่งจะช่วยแก้ปัญหาการจัดเก็บข้อมูลตามมาตรฐาน PCI DSS ได้เป็นอย่างดี แต่ไม่ได้ทำอะไรมากไปกว่านั้น

โทเค็นเครือข่ายมาจากเครือข่ายบัตรเอง โทเค็นเหล่านี้เชื่อมโยงทางวิทยาการเข้ารหัสลับกับอุปกรณ์ ธุรกิจ หรือช่องทางเฉพาะผ่าน ID ผู้ขอโทเค็น ดังนั้นโทเค็นที่จัดเตรียมไว้สำหรับการชำระเงินของธุรกิจแห่งหนึ่งจึงไม่สามารถนำไปทำซ้ำที่อื่นได้แม้ว่าจะรั่วไหลก็ตาม โทเค็นเครือข่ายยังอัปเดตตัวเองด้วย หากบัตรของลูกค้าออกใหม่หลังจากมีรายงานบัตรสูญหายหรือหมดอายุ เครือข่ายจะส่งโทเค็นที่อัปเดตไปให้โดยอัตโนมัติ

ทั้งสองวิธีนี้เป็นการปฏิบัติตามข้อกำหนดเนื่องจากทั้งสองวิธีลบข้อมูล PAN ดิบออกจากสภาพแวดล้อมของธุรกิจ ความแตกต่างปรากฏให้เห็นนอกเหนือจากการปฏิบัติตามข้อกำหนด โทเค็นเครือข่ายมีแนวโน้มที่จะให้อัตราการอนุมัติที่สูงขึ้นเนื่องจากผู้ออกบัตรสามารถตรวจสอบการผูกมัดทางวิทยาการเข้ารหัสลับและเชื่อถือบริบทของธุรกรรม และช่วยลดความล้มเหลวในการต่ออายุที่มาจากการปฏิเสธการชำระเงินด้วยบัตรที่หมดอายุ

การแปลงเป็นโทเค็นสำหรับ PCI เหมาะกับธุรกิจของคุณหรือไม่

คำตอบที่แท้จริงขึ้นอยู่กับว่าระบบของธุรกิจเองมีการเข้าถึงข้อมูลเจ้าของบัตรมากน้อยเพียงใดในปัจจุบัน

ต่อไปนี้คือบางสถานการณ์ที่การแปลงเป็นโทเค็นให้ประโยชน์สูงสุด

• ธุรกรรมที่เกิดซ้ำหรือมีการจัดเก็บข้อมูลบัตร: ธุรกิจการสมัครใช้งาน/การสมัครใช้บริการ แพลตฟอร์มสมาชิก และระบบที่จัดเก็บบัตรไว้ในไฟล์สำหรับการเรียกเก็บเงินในอนาคตจะได้รับประโยชน์สูงสุดจากการย้ายข้อมูล PAN ออกจากสภาพแวดล้อมของตนเอง

• ระบบภายในหลายระบบที่มีการเข้าถึงข้อมูลการชำระเงิน: หากเครื่องมือบริการลูกค้า การวิเคราะห์ และการจัดการคำสั่งซื้อจำเป็นต้องอ้างอิงถึงธุรกรรม โทเค็นจะช่วยให้ระบบเหล่านี้ทำงานได้โดยไม่ต้องขยายสภาพแวดล้อมข้อมูลเจ้าของบัตรให้ครอบคลุมแต่ละระบบ

• ทรัพยากรด้านความปลอดภัยภายในมีจำกัด: ธุรกิจที่ไม่มีทีมงานเฉพาะด้านจะได้รับประโยชน์จากการย้ายการจัดเก็บข้อมูล PAN และการจัดการคีย์ไปยังผู้ให้บริการที่ได้รับใบรับรอง แทนที่จะต้องสร้างโครงสร้างพื้นฐานนั้นด้วยตนเอง

• แผนการลดอัตราการปฏิเสธการชำระเงินสำหรับบัตรที่จัดเก็บข้อมูลไว้: ธุรกิจที่ประสบปัญหาการอนุมัติหรือการต่ออายุจากบัตรที่หมดอายุควรตรวจสอบให้แน่ใจว่าระบบการแปลงเป็นโทเค็นรองรับโทเค็นเครือข่าย ไม่ใช่แค่ระดับธุรกิจเท่านั้น

ธุรกิจที่ใช้ Stripe จะได้รับการแปลงเป็นโทเค็นสำหรับ PCI ตามค่าเริ่มต้น ซึ่งสร้างไว้ในการผสานการทำงานเพื่อการชำระเงิน ช่องที่มีการโฮสต์ และวิธีการชำระเงินที่บันทึกไว้ การตัดสินใจในทางปฏิบัติมักไม่ใช่ว่าจะแปลงเป็นโทเค็นหรือไม่ แต่เป็นการพิจารณาว่าการผสานการทำงานในปัจจุบันช่วยเก็บข้อมูล PAN ให้ห่างจากเซิร์ฟเวอร์ของธุรกิจเองโดยสิ้นเชิงหรือไม่ และเพื่อยืนยันเรื่องนั้น นอกเหนือจากว่า SAQ ใดครอบคลุมการประเมินผลในทางปฏิบัติเป็นส่วนใหญ่

Stripe Payments ช่วยเหลือคุณได้อย่างไร

Stripe Payments มอบโซลูชันการชำระเงินระดับโลกแบบครบวงจรที่ช่วยให้ธุรกิจทุกขนาด ตั้งแต่สตาร์ทอัพที่กำลังเติบโตไปจนถึงองค์กรระดับโลก สามารถรับชำระเงินออนไลน์ ที่จุดขาย และทั่วโลกได้

Stripe Payments สามารถช่วยคุณทำสิ่งต่อไปนี้

• ปรับปรุงประสบการณ์การชำระเงินของคุณ: สร้างประสบการณ์ลูกค้าที่ราบรื่นและประหยัดเวลาของวิศวกรได้หลายพันชั่วโมงด้วย UI การชำระเงินที่สร้างไว้ล่วงหน้า การเข้าถึงวิธีการชำระเงินมากกว่า 125 วิธี และ Link กระเป๋าเงินดิจิทัลที่สร้างโดย Stripe

• ขยายไปสู่ตลาดใหม่ๆ ได้เร็วขึ้น: เข้าถึงลูกค้าทั่วโลกและลดความซับซ้อนและค่าใช้จ่ายในการจัดการหลายสกุลเงินด้วยตัวเลือกการชำระเงินข้ามพรมแดนที่มีให้บริการใน 195 ประเทศและกว่า 135 สกุลเงิน

• รวมการชำระเงินที่จุดขายและทางออนไลน์ไว้ด้วยกัน: สร้างประสบการณ์การค้าแบบแพลตฟอร์มรวมในช่องทางออนไลน์และที่จุดขายเพื่อปรับแต่งการโต้ตอบให้ตรงกลุ่ม ตอบแทนความภักดี และเพิ่มรายรับ

• ปรับปรุงประสิทธิภาพการชำระเงิน: เพิ่มรายรับด้วยเครื่องมือการชำระเงินที่กำหนดเองได้และปรับแต่งได้ง่ายๆ ซึ่งรวมถึงระบบป้องกันการฉ้อโกงแบบไม่ต้องเขียนโค้ดและฟังก์ชันขั้นสูงเพื่อเพิ่มอัตราการอนุมัติ

• เดินหน้าได้เร็วขึ้นด้วยแพลตฟอร์มที่ยืดหยุ่นและเชื่อถือได้เพื่อการเติบโต: สร้างบนแพลตฟอร์มที่ออกแบบมาเพื่อขยับขยายไปพร้อมกับคุณ โดยมีระยะเวลาให้บริการที่แทบจะไม่หยุดทำงานเลย และมีความน่าเชื่อถือระดับแนวหน้าของวงการ

ดูข้อมูลเพิ่มเติมเกี่ยวกับวิธีที่ Stripe Payments สามารถช่วยให้คุณรับการชำระเงินออนไลน์และที่จุดขายได้ หรือเริ่มใช้งานเลยวันนี้