Tokenisering är att byta ut en känslig uppgift mot en symbol som kallas token. Token har ingen betydelse i sig, utan är bara en referens. Det riktiga värdet förvaras separat, ofta i ett särskilt skyddat valv, och kan bara hämtas av den som har rätt att göra det.
Hur det skiljer sig från kryptering
Vid kryptering är det skyddade värdet en omräknad form av originalet, som kan låsas upp med en nyckel. Vid tokenisering finns inget matematiskt samband mellan token och originalet; kopplingen är bara en uppslagning i en skyddad tabell. Får någon tag på en token utan tillgång till valvet är den värdelös.
Var det används
Tokenisering är vanligt för till exempel kortnummer vid betalningar, där handlaren kan arbeta med en token i stället för det riktiga kortnumret. Samma tanke går att använda för andra känsliga uppgifter: system, loggar och integrationer kan hantera en referens, medan det känsliga originalet hålls på ett enda skyddat ställe.
Varför det minskar risken
Poängen är att sprida så lite känslig data som möjligt. Ju färre ställen där ett riktigt värde finns, desto mindre är risken att det läcker. Tillsammans med pseudonymisering och dataminimering är tokenisering ett sätt att låta system fungera utan att det känsligaste sprids i onödan.