トークナイゼーションの「嘘」
トークナイゼーションとは何か
最近「トークナイゼーション」という言葉を耳にすることが多くなってきた。これは“Token-ization”、直訳すれば「トークン化」である。この時点で認証トークンを思い浮かべる人は少なくない。別にこれは二要素認証でセキュリティを強化しましょう、というお話ではない。
発端はやはりIT先進国・コンプライアンス大国のアメリカ。PCI DSSの準拠が法制化されているアメリカでは、QSAに支払う年次監査費用が1000万円を超えるケースが少なくない。いくら法とは言え、それを守るためにITシステムに投資しなければならない額は大金なのだから、PCI SSC（PCI DSSを設定している本丸）には多くの不満が寄せられた。
PCI SSCではこれを受けて、“Emerging Technology”と呼ぶ一連の先進技術―PCI DSSへの準拠が容易になるためのソリューション―を紹介している。E2EE（End to End Encryption）やTokenizationがその主だったものだ。
従来の暗号化よりもトークナイゼーションがクレジットカードの保護（PCI DSS）の分野で取り立たされたのには大きな理由、メリットがある。
まずはトークナイゼーションを初めて聞く方に、トークナイゼーションとは何なのかを簡潔に説明したいと思う。
トークナイゼーションが保護対象とするのはいわゆる個人を特定するIDが主だったものである。クレジットカード番号やアカウント番号等がそれに該当する。
これらの番号は個人に紐づいているにもかかわらず、通例様々なアプリケーション処理で利用され、場合によってはオペレーターがこれらIDを元に検索・統計などを行う。もちろん、これらの処理の流れで情報漏えいが起きてもおかしくないし、こういったアクセス権限を持つ管理者・オペレーターによる情報漏えい事件は数多い。
DBでこれら情報が暗号化されていたとしても、暗号化されていると検索もできなければ照合もできない。
よって上記処理では復号されて照合・検索が行われる。暗号化している以上遅延が発生するのは当然考えられる。
