数据掩码和令牌化都保护敏感数据，但它们解决不同的问题。掩码用一个虚构的值替换真实值，并且没有途径恢复到原始值，这对于测试、开发和分析非常有用。令牌化 用一个令牌替换真实值，该令牌通过安全的保管库映射回原始值。这使其成为 Live 支付系统中处理银行卡数据的标准。

混淆这两者，或者在应该使用其中一个的地方使用另一个，会导致一方面工作流程中断，另一方面不必要的暴露。更糟糕的是，低效的数据安全做法可能会导致数据泄露，这可能会带来 平均 500 万美元的成本，并且需要超过 280 天才能控制住局面。

在下文中，我们将解释每种方法的工作原理、两者在可逆性和应用场景方面的分歧，以及如何确定您的业务对于给定数据集需要哪一种。

要点

• 数据掩码永久性地用逼真的虚构值替换敏感值。这使其非常适合测试和分析等非生产环境。

• 令牌化用令牌替换敏感值，这些令牌通过安全的保管库映射回原始值。这使其成为保护真实交易中银行卡数据的标准。

• 为特定数据集选择错误的方法可能会破坏功能或产生不必要的监管合规暴露。正确的选择取决于是否需要可检索真实值。

什么是数据掩码与令牌化？

数据掩码将真实值替换为看起来和表现得像原始值但与原始值没有任何联系的虚假值。在 支付安全 的背景下，数据掩码会模糊持卡人详细信息和其他敏感数据。

令牌化将敏感值替换为随机生成的令牌，然后将令牌和原始值之间的映射存储在单独的、受严格控制的保管库中。令牌与原始值之间没有任何数学关系。即使有人窃取了令牌，如果没有该保管库的访问权限，也得不到任何有用的东西。

数据掩码和令牌化之间有什么区别？

两者的区别归结为真实值是否需要在某个可检索的地方存在才能让系统继续运行。

以下是决定哪一种合适的功能：

• 可逆性：掩码数据没有途径恢复到原始值。令牌化数据则可以通过发放令牌的保管库进行恢复。

• 应用场景：掩码适用于非生产环境，例如测试、开发和分析。令牌化适用于 Live 的生产工作流程，在这种情况下，商家需要对真实数据执行操作，而无需直接存储它。

• 保护范围：掩码保护不再需要反映现实的数据。令牌化保护必须像真实数据一样发挥作用，只是不驻留在商家自身系统内的数据。

• 监管适用性：掩码通过从不需要的环境中删除真实的个人数据，帮助满足欧盟 欧盟《通用数据保护条例》(GDPR) 等框架下的数据最小化原则。令牌化是 支付卡行业数据安全标准 (PCI DSS) 明确认可的减少企业监管合规评估范围的机制。

什么时候应该使用数据掩码与令牌化？

当真实值在其使用的环境中没有功能作用时，请使用掩码。测试新结账页面的开发人员、建立流失模型的分析师以及运行自动化测试套件的质量保证工程师，都需要像真实数据一样运作但并非真实数据的数据。掩码为他们提供了这一点，并且它完全消除了风险，因为没有什么可暴露的。

当企业确实需要在稍后对敏感值执行操作时，请使用令牌化。这种需求在以下几种情况下变得明显：

• 定期开单：处理月度扣款的 订阅业务 需要一种方法在不存储银行卡号本身的情况下每个周期对同一张银行卡扣款。

• 退款和争议：客户服务团队在发放退款时需要引用特定的交易，而无需调出完整的主账号 (PAN)。

• 存档银行卡结账：回头客希望获得 一键式购买体验。只有在令牌代替企业从未持有的银行卡号的情况下，这才有效。

在每种情况下，掩码都不起作用，因为无法取消掩码的值来完成扣款。

选择错误的敏感数据保护方法有哪些风险？

在应该使用令牌化的地方使用掩码会立即破坏功能。基于掩码银行卡数据构建的 定期开单系统 无法在下个月向客户扣款，因为能让它做到这一点的值已经不复存在了。

在应该使用掩码的地方使用令牌化会产生另一种问题：不必要的暴露。如果临时系统提取的是令牌化的生产数据而不是掩码数据，并且该环境没有与生产环境相同的访问控制，那么该商家就将真实的持卡人数据扩展到了安全级别较低的环境中，且没有任何实际好处。监管合规审计员 可能会标记这种模式，因为它将原本不需要的系统纳入了 PCI 范围内。

如何决定哪种方法适合您的业务？

首先为每个数据集提出一个简单的问题：下游是否有任何环节需要恢复真实值？如果答案是否定的，掩码是更简单的工具，也是正确的选择。如果答案是肯定的，令牌化值得为其增加基础设施，因为可逆性是一个不可避免的需求。

以下几项检查有助于确认决策：

• 追踪数据的使用：列出接触该值的每个系统，并确定每个系统是需要真实数据还是仅仅需要看起来像真实数据的内容。

• 检查监管合规驱动因素：如果缩小 PCI DSS 范围是目标，那么 支付令牌化 就是监管机构认可的机制。而在测试环境中，GDPR 风格的数据最小化原则更倾向于使用掩码。

• 查看环境隔离：处理真实交易的生产系统通常需要令牌化。非生产环境通常需要掩码。如果没有明确的理由混合使用这两种环境，往往会产生比消除更多风险的情况。

对于使用 Stripe 的商家来说，关于通过 Stripe 集成收集的支付数据，他们已经做出了部分决定。PAN 在收集时即被令牌化，商家永远不需要自己构建该层。商家只需决定如何处理其余的敏感数据——例如用于测试或分析的内部客户记录，在这些场景中，掩码通常就能胜任。

Stripe Payments 如何提供帮助

Stripe Payments 提供一体化的全球支付解决方案，帮助任何企业——从成长型初创企业到全球性企业——在全球范围内接受线上和线下付款。

Stripe Payments 可帮助您：

• 优化您的结账体验：利用预构建的支付用户界面、对 125 种以上支付方式的访问以及 Stripe 构建的数字钱包 Link，创造无摩擦的客户体验，并节省数千个小时的工程时间。

• 更快拓展新市场：覆盖全球客户，并通过跨境支付选项降低多币种管理的复杂性和成本，覆盖 195 个国家/地区，支持 135 种以上货币。

• 统一线下与线上支付：整合线上与线下渠道，打造一体化商务体验，实现个性化互动、提升客户忠诚度并增加营收。

• 优化支付性能：通过一系列可定制、易于配置的支付工具提升营收，包括无代码欺诈防护功能与提高授权率的高级功能。

• 利用灵活、可靠的平台加速业务增长：选择一个专为随业务扩展而设计的平台，历史正常运行时间达 99.999%，可靠性在行业内首屈一指。

进一步了解 Stripe Payments 如何为您的线上和线下付款提供支持，或者立即开始使用。