Tokenizasyon (Tokenization): Ödeme ve Kimlik Verilerinin Şifrelemeden Farklı Bir Yöntemle Korunması
Dijital ekonomide hassas verilerin korunması için kullanılan Tokenizasyon, kredi kartı numarası veya T.C. Kimlik No gibi değerli bilgilerin, sistem içinde hiçbir matematiksel karşılığı olmayan rastgele bir “token” (simge) değeriyle değiştirilmesidir. Şifrelemeden farklı olarak, tokenizasyonda orijinal veriyi geri döndürecek bir “anahtar” bulunmaz; orijinal veri kurumun ana ağından izole, yüksek güvenlikli bir Token Kasası (Token Vault) içinde saklanır.
Teknik süreçte, verinin formatı korunarak (Format Preserving Tokenization) üretilen bu simgeler, CRM veya muhasebe gibi uygulama katmanlarında gerçek veriymiş gibi işlenebilir. Bu durum, bir siber saldırı sırasında saldırganın eline sadece “değersiz plastik pullar” geçmesini sağlar. Özellikle PCI-DSS uyumluluğu gereken finans kuruluşları için bu yöntem, gerçek verinin geçtiği sistem sayısını azalttığı için denetim maliyetlerini düşürür ve saldırı yüzeyini daraltır.
[Image comparing encryption versus tokenization workflows for data protection]
KVKK Madde 12 uyarınca tokenizasyon, “teknolojik imkanlar dahilindeki en üst düzey önlemlerden” biri kabul edilir. Bir veri ihlali durumunda, sızan veriler tokenlardan ibaretse, bu veriler “kişisel veri” niteliğini yitirdiği için yasal yaptırımlar hafifleyebilir. Ancak sistemin kalbi olan Token Kasası’nın güvenliği (HSM kullanımı, sıkı izolasyon ve erişim loglaması), tüm dijital ekosistemin güvenliğini belirleyen en kritik halkadır. Siber dünyada gerçek güvenlik, çalınacak bir verinin kalmamasıyla mümkündür.