Página de inicio de OpenText.
Temas técnicos

¿Qué es la tokenización?

Ilustración de elementos informáticos centrados en un signo de interrogación

Descripción general

La tokenización es un proceso mediante el cual los PAN, PHI, PII y otros elementos de datos sensibles se sustituyen por valores sustitutos o tokens. En realidad, la tokenización es una forma de cifrado, pero ambos términos suelen utilizarse de forma diferente. El cifrado suele significar la codificación de datos legibles para el ser humano en un texto incomprensible que sólo se descifra con la clave de descifrado adecuada, mientras que la tokenización (o "enmascaramiento", u "ofuscación") significa alguna forma de protección de datos que preserva el formato: la conversión de valores sensibles en valores de sustitución no sensibles -tokens- de la misma longitud y formato que los datos originales.

  • Los tokens comparten algunas características con los elementos de datos originales, como el conjunto de caracteres, la longitud, etc.
  • Cada elemento de datos se asigna a un token único.
  • Las fichas son deterministas: si se genera repetidamente una ficha para un valor determinado, se obtiene la misma ficha.
  • Una base de datos tokenizada puede consultarse tokenizando los términos de la consulta y buscándolos.

Como forma de cifrado, la tokenización es una estrategia clave de protección de la privacidad de los datos para cualquier empresa. Esta página ofrece una visión muy general de qué es la tokenización y cómo funciona.

Tokenización

¿De dónde viene la tokenización?

La tokenización digital fue creada por primera vez por TrustCommerce en 2001 para ayudar a un cliente a proteger la información de sus tarjetas de crédito. Los comerciantes almacenaban los datos de los titulares de las tarjetas en sus propios servidores, lo que significaba que cualquiera que tuviera acceso a ellos podía ver o aprovecharse de los números de las tarjetas de crédito de esos clientes.

TrustCommerce desarrolló un sistema que sustituía los números de cuenta principales (PAN) por un número aleatorio llamado token. Esto permitía a los comerciantes almacenar y referenciar fichas al aceptar pagos. TrustCommerce volvió a convertir los tokens en PAN y procesó los pagos utilizando los PAN originales. Esto aisló el riesgo para TrustCommerce, puesto que los comerciantes ya no tenían ningún PAN real almacenado en sus sistemas.

A medida que aumentaban los problemas de seguridad y los requisitos normativos, la tokenización de primera generación demostró el valor de la tecnología, y otros proveedores ofrecieron soluciones similares. Sin embargo, pronto se hicieron evidentes los problemas de este planteamiento.

¿Qué tipos de tokenización existen?

Existen dos tipos de tokenización: reversible e irreversible.

Los tokens reversibles pueden ser detokenizados - convertidos de nuevo a sus valores originales. En terminología de privacidad, esto se denomina seudonimización. Estas fichas pueden subdividirse en criptográficas y no criptográficas, aunque esta distinción es artificial, ya que cualquier tokenización es en realidad una forma de cifrado.

La tokenización criptográfica genera tokens utilizando criptografía fuerte; los elementos de datos en texto claro no se almacenan en ninguna parte, sólo la clave criptográfica. El modo AES FF1 estándar del NIST es un ejemplo de tokenización criptográfica.

La tokenización no criptográfica significaba originalmente que los tokens se creaban generando aleatoriamente un valor y almacenando el texto claro y el token correspondiente en una base de datos, como la oferta original de TrustCommerce. Este enfoque es conceptualmente simple, pero significa que cualquier solicitud de tokenización o destokenización debe hacer una solicitud al servidor, lo que añade sobrecarga, complejidad y riesgo. Tampoco se escala bien. Considere una solicitud para tokenizar un valor: el servidor debe realizar primero una búsqueda en la base de datos para ver si ya tiene un token para ese valor. Si lo hace, lo devuelve. Si no es así, debe generar un nuevo valor aleatorio y, a continuación, realizar otra búsqueda en la base de datos para asegurarse de que ese valor no se ha asignado ya a un texto claro diferente. Si lo ha hecho, debe generar otro valor aleatorio, comprobar ese, y así sucesivamente. A medida que crece el número de fichas creadas, aumenta el tiempo necesario para estas búsquedas en la base de datos; peor aún, la probabilidad de que se produzcan estas colisiones crece exponencialmente. Estas implementaciones también suelen utilizar varios servidores de tokens para equilibrar la carga, aumentar la fiabilidad y evitar fallos. Éstas deben realizar la sincronización de la base de datos en tiempo real para garantizar la fiabilidad y la coherencia, lo que añade más complejidad y sobrecarga.

La tokenización no criptográfica moderna se centra en enfoques "sin estado" o "sin bóveda", utilizando metadatos generados aleatoriamente que se combinan de forma segura para construir tokens. Estos sistemas pueden funcionar desconectados entre sí y ampliarse hasta el infinito, ya que no requieren más sincronización que la copia de los metadatos originales, a diferencia de la tokenización basada en bases de datos.

Las fichas irreversibles no pueden volver a su valor original. En terminología de privacidad, esto se denomina anonimización. Estos tokens se crean mediante una función unidireccional, lo que permite utilizar elementos de datos anonimizados para análisis de terceros, datos de producción en entornos inferiores, etc.

Ventajas de la tokenización

La tokenización requiere cambios mínimos para añadir una sólida protección de datos a las aplicaciones existentes. Las soluciones tradicionales de cifrado amplían los datos, lo que requiere cambios significativos en el esquema de datos de la base de datos y del programa, así como almacenamiento adicional. También significa que los campos protegidos no superan ninguna comprobación de validación, lo que requiere un análisis y actualizaciones adicionales del código. Los tokens utilizan los mismos formatos de datos, no requieren almacenamiento adicional y pueden pasar controles de validación.

Como las aplicaciones comparten datos, la tokenización también es mucho más fácil de añadir que el cifrado, ya que los procesos de intercambio de datos no cambian. De hecho, muchos usos intermedios de los datos -entre la ingesta y la disposición final- pueden utilizar normalmente el token sin tener que destokenizarlo nunca. Esto mejora la seguridad, ya que permite proteger los datos lo antes posible en el momento de su adquisición y mantenerlos protegidos durante la mayor parte de su ciclo de vida.

Dentro de los límites de los requisitos de seguridad, los tokens pueden conservar valores parciales en texto claro, como los dígitos iniciales y finales de un número de tarjeta de crédito. Esto permite que las funciones necesarias, como el enrutamiento de la tarjeta y la verificación de los "cuatro últimos" o la impresión en los recibos de los clientes, se realicen utilizando el token, sin tener que volver a convertirlo en el valor real.

Esta capacidad de utilizar directamente los tokens mejora tanto el rendimiento como la seguridad: el rendimiento, porque no hay sobrecarga cuando no se requiere destokenización; y la seguridad, porque como nunca se recupera el texto en claro, hay menos superficie de ataque disponible.

¿Para qué sirve la tokenización?

La tokenización se utiliza para proteger muchos tipos diferentes de datos confidenciales, entre ellos:

  • Datos de la tarjeta de pago
  • Números de la Seguridad Social estadounidense y otros números de identificación nacional
  • Números de teléfono
  • Números de pasaporte
  • Números de permiso de conducir
  • Direcciones de correo electrónico
  • Números de cuenta bancaria
  • Nombres, direcciones, fechas de nacimiento

A medida que aumentan las filtraciones de datos y la seguridad de los mismos adquiere mayor importancia, las organizaciones encuentran atractiva la tokenización porque es más fácil de añadir a las aplicaciones existentes que el cifrado tradicional.

Cumplimiento de PCI DSS

La protección de los datos de las tarjetas de pago es uno de los casos de uso más comunes para la tokenización, en parte debido a los requisitos de enrutamiento para los diferentes tipos de tarjetas, así como la validación de los "cuatro últimos" números de tarjeta. La tokenización de los datos de las tarjetas recibió un impulso temprano gracias a los requisitos establecidos por el Consejo de Normas de Seguridad del Sector de Tarjetas de Pago (PCI SSC). La Norma de Seguridad de Datos del Sector de Tarjetas de Pago (PCI DSS) exige a las empresas que manejan datos de tarjetas de pago que garanticen el cumplimiento de estrictos requisitos de ciberseguridad. Aunque la seguridad de los datos de las tarjetas de pago mediante cifrado está permitida por la norma PCI DSS, los comerciantes también pueden utilizar la tokenización para cumplir las normas. Dado que los flujos de datos de los pagos son complejos, de alto rendimiento y bien definidos, la tokenización es mucho más fácil de añadir que el cifrado.

Proteja los datos confidenciales con la tokenización

La tokenización se está convirtiendo en una forma cada vez más popular de proteger los datos, y puede desempeñar un papel vital en una solución de protección de la privacidad de los datos. OpenText™ Cybersecurity está aquí para ayudar a proteger los datos empresariales confidenciales utilizando OpenText™ Voltage™ SecureData, que proporciona una variedad de métodos de tokenización para adaptarse a cada necesidad.

Voltage SecureData y otras soluciones de ciberresiliencia pueden aumentar la inteligencia humana con inteligencia artificial para reforzar la postura de seguridad de los datos de cualquier empresa. Esto no sólo proporciona un cifrado inteligente y un proceso de autenticación más inteligente, sino que permite detectar fácilmente amenazas nuevas y desconocidas gracias a la información contextual sobre amenazas.

Productos relacionados

OpenText™ Data Privacy & Protection Foundation

Proteja los datos de alto valor mientras los mantiene utilizables para la TI híbrida

Protección de datos

Proteja los datos, reduzca los riesgos, mejore el cumplimiento y controle el acceso

Ver todos los productos relacionados

¿Cómo podemos ayudar?

Notas al pie