2008年是敏感信息泄露数量创纪录的一年。盗取的大部分数据都是支付卡数据，这些数据使小偷得以使用数百万张信用卡和借记卡进行欺诈。有一种叫做标记化的新技术为保护敏感数据提供了很好的前景。如果您的组织被迫遵守支付卡行业(PCI)，那么您需要了解标记化，以及它如何在降低成本的同时帮助您实现和维护PCI遵从性。
数据丢失是一个巨大的问题，为各种规模的组织，并在所有行业。2008年，Verizon的业务风险调查队调查，其中超过2.85亿条记录被泄露90个漏洞。大多数的这些记录涉及敏感的支付卡数据。谁偷记录的盗贼然后转身出售或用于欺诈目的的信息 - 换句话说，从我们的信用卡和借记卡账户窃取钱财。
这些仅仅是我们所知道的一些裂口，使它们成为冰山一角。每天都有更多涉及敏感信息的实例发生，比如社会安全号码、客户账户信息、知识产权、认证凭证、公司财务数据等等。
许多企业已经转向数据加密，以保护敏感数据。而对数据进行加密肯定是在纯文本形式使用，移动和存储它的改进，加密有它的缺点。它可以是昂贵和繁琐的按键管理加密和解密的信息，尤其是如果该组织希望在众多应用中使用的数据。例如，零售企业可能需要使用客户支付卡数据，以提供积分奖励或分析购买趋势。每个应用程序的需要的手段对数据进行解密，而它在使用和以后重新加密。
现在有一个相对较新的技术，叫做标记化是一场凝聚来自有很多数据泄露事件失去兴趣的组织。像加密，标记化替换字符的替换字符串称为令牌的敏感数据。然而，令牌不密文;相反，它是字符的随机生成的字符串。如果令牌数据丢失或被盗，它没有任何意义，谁可以查看它。它只能被“解锁”被授权方谁有权访问令牌服务器来揭示原始数据。
下面是符号化是如何工作的一个简单的概述。我将使用支付卡数据的例子，因为这是最频繁使用的今天标记化。
商家有一个销售点系统，在这里客户刷卡或借记卡来启动支付交易。在卡背面磁条上的信息中有一个16位数字，称为主帐户号码(PAN)。任何能进入PAN的小偷都有足够的信息来使用卡数据进行欺诈。PAN(即持卡人数据)被发送到令牌服务器，在那里被加密并放入一个安全的数据库。生成一个令牌来替换商家存储系统或业务应用程序中的PAN数据。如果商户需要再次访问原始持卡人数据——比如对信用卡进行退款——商户被授权进入安全数据库再次查找PAN。
下面是一个保持格式的记号化过程的例子。在这个过程中，长度和数据类型被保留，但是数据值的变化足以使数据小偷混淆。
原始数据是1234 56789012 3456，相当于一个16位PAN。分词后，代表号码可以是1234 59244701 3456。前四位数字(“头”)和后四位数字(“尾”)保持不变。中间的8位数字(“主体”)被随机打乱，足以掩盖真实的数据值。标记后的数字与原始数字的格式相同，因此可以在业务应用程序中使用它，而不需要修改应用程序或维护密钥来解码数据。
这个过程为商家提供了几个好处。首先，它从使用客户数据的业务流程中取出高度敏感的数据。这降低了从服务器或应用程序窃取真实数据的可能性。如果小偷偷走了标记化的数据，他就不能用它来检索真实的数据，因为他没有权限访问安全的数据库。相反，他最终得到的是一堆对他毫无意义的随机数。
对于那些不得不满足PCI数据安全标准（PCI DSS）公司，以对敏感数据进行存储和业务应用降低了持卡人数据环境，是受PCI合规和评估。实际上，商家可以极大地减少了对PCI合规性和维护费用，如果他不储存或使用纯文本或加密的持卡人数据。已使用的分词用于此目的的一些大型商家已经证明他们可以节省数百万美元的一年。
数据符号化是比较新的，但迎头赶上。我希望在几年之内，将被视为对敏感数据的保护最佳实践。其实，我也不会惊讶地看到PCI DSS的未来版本中包括符号化的要求。有关此良好的洞察力，我建议你阅读文章“符号化”吹捧提高信用卡数据的安全性这里。
下周，我们将探讨一些符号化提供解决方案的公司。