数据令牌化

1）这是什么，为什么

令牌化-用非加密令牌替换敏感值（PII/finance），如果不访问单独的服务/密钥,就无法从中恢复源值。在iGaming中，令牌化降低了泄漏暴露半径和合规成本，简化了与PSP/KYC提供商的工作，并使分析和ML无需直接PII即可处理数据。

• 尽量减少"原始"PII/财务数据的存储。
• 通过服务和登录限制PII交付。
• 简化合规性（KYC/AML、支付、隐私、地方法律）。
• 通过稳定的令牌和确定性电路，保持数据对分析/ML的适用性。

2）令牌化vs加密

加密：可逆转换；在存储/过境时保护,但机密仍保留在数据中（需要密钥）。
令牌化：源代码被引用ID（token）代替；原件单独保存（vault）或根本不保存（vaultless FPE/DET）。
组合：PII →令牌，保险箱中的原件与HSM/KMS加密；产品/博客中的令牌，仅在"清洁区域"中进行分解。

3）代币化类型

1.基于保险库（经典）：

"原始令牌↔对应存储库。
优点：格式灵活性、易于排毒、访问控制和审核。
缺点：对保险箱的依赖（latency/SPOF），缩放和DR需要纪律处分。

2.Vaultless/加密（FPE/DET）：

格式化加密（FPE）或确定性加密（DET），没有对应表。
优点：没有保险箱,高性能,稳定的joyns令牌。
缺点：更难轮换密钥和召回,微调加密参数。

3.哈希令牌（带盐/胡椒粉）：

对映的单向转换（match/link）不具有可逆性。
优点：便宜而快速；对MDM中的de-dup有好处。
缺点：没有排毒；没有可靠盐的冲突和攻击。

4） iGaming中的标记化对象

KYC：护照/ID，文件号，出生日期，地址，电话，电子邮件，自拍生物识别器（供应商的存储模板或ID）。
付款：PAN/IBAN，钱包，加密地址（包括金额/格式支票）。
帐户/联系人：全名、地址、电话、电子邮件、IP/Device ID（带保留）。
操作分析：投诉、滴答作响、聊天-文本字段在链接中通过编辑/掩蔽+令牌化。
Logi/Traces：阻止PII；允许令牌/哈希。

5）建筑模式

5.1个区域和路线

清洁区域（受限制）：令牌保险箱,HSM/KMS,排毒,严格RBAC/ABAC。
灰色区域（机密/内部）：商业服务，分析/ML；仅适用于令牌/单元。
边缘区域（Edge/PSP/KYC）：集成；PII可以立即进入保险箱或"在供应商处"，并由供应商的参考令牌代替。

5.2合同和计划

数据合同描述：禁止PII，允许令牌，令牌类型（格式，长度，FPE/UUID），验证规则和版本兼容性。
Schema Registry：标记"pii：true"，"tokenized：true"，字段的"敏感性类别"。

5.3确定性和乔恩斯

对于域之间的稳定操纵杆，请使用确定性令牌（FPE/DET）或带有pepper的持久哈希。
对于UI/sapport-随机操作令牌+审核反向转换请求。

6）钥匙、保险箱和排毒

密钥库： KMS/HSM,轮换,权利划分,双重控制.

令牌安全：容错群集,区域间复制,多因素确认程序"断面"。
排毒：仅在"纯区域"中，按照最低权利原则；时间访问令牌（Just-In-Time）和强制审核。
轮换：键的时间表（用于召回的crypto shredding），pere-tokenization策略，"dual-read"时期。

7）集成： KYC/AML、PSP、提供商

KYC提供商：仅在其记录/文件上存储令牌；源扫描-在供应商或"清洁区域"离线存储中。
PSP：PAN从未进入核心；使用PSP+令牌内部令牌进行交叉系统连接。
AML/制裁名单：通过PSI/MPC或通过与监管机构/合作伙伴（政策）协商的盐的哈希进行比赛。

8）令牌化和分析/ML

Fichi是根据令牌/聚合物构建的（例如：代币付款人的存款频率，代币-IP地理，代币-ID的KYC重复）。
对于文本：PII+entity替换的NLP修订版。
对于标记和A/B：fich注册表标记无效的PII特征；CI中的policy-as-code阻止PR和PII在店面中。

9）访问策略和审计

RBAC/ABAC：角色，域，国家/地区，处理目的，"持续时间"；仅通过有理由的申请进行分解。
期刊：谁以及何时要求进行分解，在什么上下文中，在什么范围内。
DSAR/删除：通过令牌找到相关的实体；删除时-按计划清除"crypto shred"密钥和保管箱/备件。

10）性能和规模

热路径：同步输入令牌（KUS/付款），带有TTL的令牌缓存在"灰色"区域。
Bulk-path：历史数据的异步复古令牌化；迁移期的"dual-write/dual-read"模式。
可靠性：资产资产保险箱,地理复制,潜伏预算,graceful-degradation（临时口罩代替排毒）。

11）度量标准和SLO

覆盖：带有"pii： true"标记的字段比例。
登录中的零PII：非PII登录/跟踪百分比（目标是100％）。
Detokenization MTTR：执行有效性申请（SLO）的平均时间。
Key hygiene：按键旋转的及时性，跨域的pepper的独特性。
事件：违反PII策略的次数及其关闭时间。
Perf：p95代谢/退化潜伏期；安全/聚合器可用性。
Analytics fitness：在没有质量降解的情况下成功转换为令牌的店面/模型的比例。

12） RACI（示例）

Policy & Governance: CDO/DPO (A), Security (C), Domain Owners (C), Council (R/A).

安全/密钥：Security/Platform （R）、CISO/CTO （A）、Auditors （C）。
集成（KYC/PSP）：薪水/KYC领导（R），法律（C），安全（C）。

Data/ML: Data Owners/Stewards (R), ML Lead (C), Analytics (C).

操作和审计：SecOps（R），内部审计（C），DPO（A）。

13）工件模板

13.1代币政策（摘录）

范围：哪些数据类别需要标记化；例外和理由。
令牌类型：vault/FPE/DET/hash；格式和长度。
访问：谁可以进行分解；申请过程，日志，访问寿命。

轮换： 键图,crypto shred, backfill/dual-read.

Logi：PII禁令；罚款和花花公子事件。

13.2标记字段护照

字段/域： "customer_email"/CRM

数据类别： PII/受限制

令牌类型： DET-FPE（域保存）,长度64

用途： dedup/joynes,通过代理进行通信

排毒： 禁止；DSAR桉例只允许DPO

相关文物： 合同、方桉、DQ规则（掩码、格式）

13.3发射支票清单

• 合同和计划标有"pii"/"tokenized"
• 安全/HSM部署,DR/BCP计划准备就绪
• CI-linters 在代码/SQL/logs中阻止PII
• 测试套件：标志/拉伸中缺乏PII，格式掩码正确性
• Dashbords Coverage/Zero-PII/Perf定制
• 训练有素的团队（KYC/Payments/Support/Data/ML）

14）实施路线图

0-30天（MVP）

1.PII/财务领域和流量清单；分类。
2.选择关键路径（KYC、付款、日志）和令牌类型（vault/FPE）。
3.部署带有HSM/KMS的保险箱,在KYC/PSP入口处实施令牌化。
4.启用linters/log掩码；Zero-PII监视。
5.标记化政策和排毒过程（申请，审计）。

30-90天

1.CRM/计费/字幕中故事的复古象征化；dual-read.

2.用于MDM和分析的确定性令牌/哈希；joyns改编。
3.按计划轮换钥匙；Coverage/Perf/SLO减速板。
4.与DSAR/删除集成（按令牌和图形）。
5.事件和演习的花花公子（桌面）。

3-6个月

1.扩展到提供商/合作伙伴渠道；外部供应商的参考令牌。
2.包括非PII认可比赛的PSI/MPC。
3.在令牌上覆盖完整的店面/ML；在序言和预告片中放弃PII。
4.合规审核和年度流程重新认证。

15）反模式

"逻辑中的令牌，原始令牌-也在逻辑中"：没有面具/过滤器的逻辑。
无需审核即可在"方便"应用程序侧进行排序。
所有域和区域的单键/pepper。
没有按键旋转和按键计划。
没有格式/字母控制的FPE →第三方系统出现故障。
分析/ML中未更改的令牌化→破碎的乔因和度量标准。

16）与相邻实践者的联系

数据管理：政策，角色，目录，分类。
数据的起源和路径：令牌创建/分解的地方,PII轨迹。
保密ML/联邦学习：代币/单元培训，DP/TEE。
道德和减少偏见：排除代理PII，透明度。
DSAR/Legal Hold：通过令牌和密钥删除/冻结。
数据的可观察性：在日志中为零-PII，令牌流是新鲜的。

底线

令牌化不是"化妆品"，而是安全性和合规性的基本层。正确的体系结构（区域，安全性/HSM，确定性分析令牌），严格的流程（可用性，审计，轮换）和法规使该平台具有抗泄漏性，并且数据在没有额外风险的情况下很有用。