Προσθήκη δεδομένων PII

Tokenization των δεδομένων PII

1) Γιατί η μαρκινοποίηση και τι ακριβώς σημαίνουμε

Στόχος: αποκλεισμός της πρόσβασης σε «ανεπεξέργαστα» προσωπικά δεδομένα στο επιχειρησιακό κύκλωμα και την ανάλυση, μείωση του κινδύνου διαρροών και απλούστευση της συμμόρφωσης με τις απαιτήσεις.
Παραδείγματα PII: πλήρες όνομα, αριθμός τηλεφώνου, ηλεκτρονικό ταχυδρομείο, διεύθυνση, διαβατήριο/ταυτότητα, TIN, διευθύνσεις IP, ταυτότητα cookie, αναγνωριστικά πληρωμής, ημερομηνία γέννησης κ.λπ.

• δεν αποκαλύπτει την αρχική αξία·
• μπορεί να είναι αναστρέψιμη (μέσω ασφαλούς υπηρεσίας αποτοξίνωσης) ή μη αναστρέψιμη·
• μπορεί να είναι ντετερμινιστικό (για συμμετοχή/αναζήτηση) ή μη ντετερμινιστικό (για μέγιστη προστασία της ιδιωτικής ζωής).

2) Πρότυπο απειλής και στόχοι ελέγχου

Κίνδυνοι: βάση δεδομένων/ημερολόγιο/εφεδρικές διαρροές, αναγνώσεις εμπιστευτικών πληροφοριών, συσχέτιση με επαναλαμβανόμενες τιμές, μη εξουσιοδοτημένη αποτοξίνωση, επιθέσεις λεξικού/μορφότυπου (email/τηλέφωνο), επαναχρησιμοποίηση μυστικών.

1. Χωριστές ζώνες εμπιστοσύνης: η εφαρμογή λειτουργεί με μάρκες, τις πηγές - μόνο στη συμβολική υπηρεσία.

2. Εγγυάται την κρυπτογραφική αντοχή των μαρκών και τη διαχείριση της αποτοξίνωσης.

3. Μείωση της ακτίνας έκρηξης με KMS/HSM, περιστροφή και στείρωση κρυπτογράφησης.

4. Διασφάλιση της καταλληλότητας για αναζήτηση/joyns/ανάλυση σε ελεγχόμενο κίνδυνο.

3) Τυπολογία των μαρκών

• PII για αναζήτηση/joynes: αναστρέψιμος προσδιορισμός, με περιφερειακό προσανατολισμό (ενοικιαστής/πεδίο εφαρμογής), κλειδωμένος στο KMS.
• PII για λειτουργική συγκάλυψη (UI): αναστρέψιμο μη καθορισμένο με διάρκεια ζωής για τη μείωση των κινδύνων επαναχρησιμοποίησης.
• Για την ανάλυση γκρίζων ζωνών: μη αναστρέψιμες (βασικές συγκεντρώσεις NMAC/αλατιού) ή DP.

4) Αρχιτεκτονική σηματοδότησης

4. 1 Κατασκευαστικά στοιχεία

Υπηρεσία Tokenize (TS): «mokenize/detokenize/search» API, ζώνη υψηλής εμπιστοσύνης.
Token Vault (TV): προστατευόμενος χάρτης 'token → original (+ μεταδεδομένα)'.
KMS/HSM: αποθήκευση βασικού πλήκτρου (KEK), εργασίες περιτύλιξης/υπογραφής.
Κινητήρας πολιτικής: ποιος, πού και γιατί μπορεί να αποτοξινώσει. πεδίο εφαρμογής/TTL/όρια επιτοκίου· mTLS/mTLS + mTLS.
Έλεγχος & ασυλία: αμετάβλητα αρχεία όλων των εργασιών μαρκινοποίησης/αποτοξίνωσης.

4. 2 Βασική ιεραρχία

Root/KEK σε KMS/HSM (ανά οργάνωση/περιφέρεια/ενοικιαστή).
DEK-PII ανά τομέα δεδομένων (ηλεκτρονικό ταχυδρομείο/τηλέφωνο/διεύθυνση) ή/και σύνολο δεδομένων.
Περιστροφή: αναδιατύπωση DEK χωρίς εκ νέου κρυπτογράφηση ολόκληρου του βολτ. Σχέδιο «βασικού συμβιβασμού».

4. 3 Ροές

1. Tokenize: TS → client (mTLS + A&A) → κανονικοποίηση → συμβολικό υπολογισμό → γράφοντας στην τηλεοπτική → συμβολική απάντηση.
2. Detokenize - TS → Client → Policy/Reason Check → Source Check (ή απόρριψη).
3. Αναζήτηση/Ταίριασμα: Καθορισμός σημάτων σας επιτρέπει να αναζητήσετε με σύμβολο. για ηλεκτρονικό ταχυδρομείο/τηλέφωνο - κανονικοποιήστε τη μορφή πριν από τη μαρκινοποίηση.

5) Σχέδια σημάτων (σχέδιο κρυπτογράφησης)

5. 1 Αναστρέψιμο (συνιστάται για λειτουργικό κύκλωμα)

φάκελο AES-SIV/AEAD: 'cipher = AEAD_Encrypt (DEK, PII, AAD = πεδίο εφαρμογής' tenant 'field)'· συμβολική = 'πρόθεμα' nonce 'cipher' tag '.
FPE (FF1/FF3-1) για μορφότυπους (π.χ. δεκαψήφιο τηλέφωνο χωρίς κωδικό χώρας). Εφαρμόστε με προσοχή και σωστό τομέα (αλφάβητο/μήκος).

5. 2 Μη αναστρέψιμη (ανάλυση/ανωνυμοποίηση προσώπου)

Keyed HMAC/хэш: 'token = HMAC (PII_normalized, key = K _ scope)'. αλάτι/πιπέρι - χωριστά· ανά ενοικιαστή ή σύνολο δεδομένων.
Ελαχιστοποίηση του κινδύνου συγκρούσεων με την επιλογή μιας συνάρτησης (SHA-256/512) και ενός πεδίου.

5. 3 Προσδιορισμός και πεδίο εφαρμογής

Για την ένωση, χρησιμοποιήστε ένα ντετερμινιστικό σχήμα με AAD = '{ενοικιαστής' σκοπός 'πεδίο}' → διαφορετικές μάρκες της ίδιας τιμής αντιστοιχούν σε διαφορετικούς στόχους.
Για την καταπολέμηση της συσχέτισης σε διάφορες υπηρεσίες - διαφορετικά κλειδιά/τομείς.

5. 4 Ελαχιστοποίηση επιθέσεων λεξικού

Κανονικοποίηση (κανονικοποίηση ηλεκτρονικού ταχυδρομείου/τηλεφώνου), πιπέρι στο KMS, περιορισμός μεγέθους τομέα (μην δώσετε λάθη «δεν βρέθηκε εγγραφή» ως πλευρικό κανάλι), όριο ταχύτητας και SARTSNA/διαμεσολαβητή για δημόσια σημεία.

6) Σχεδιασμός και σχήματα API

6. 1 REST/gRPC (επιλογή)

'POST/v1/mokenize {πεδίο, τιμή, πεδίο εφαρμογής, tenant_id, σκοπός} -> {token, meta}'

'POST/v1/detokenize {token, σκοπός} -> {value}' (mTLS + OIDC + ABAC; «ελαχιστοποίηση» της έκδοσης)

'POST/v1/match {field, value} -> {token}' (deterministic search path)

6. 2 Διάγραμμα αποθήκευσης (TV)

«μάρκες (πεδίο, πεδίο εφαρμογής, , μάρκα, , έκδοση, , )»

Δείκτες: με το «token», με το «(tenant_id, πεδίο, hash_index)» για την απο-επανάληψη/αναζήτηση.
Ο δείκτης Hash (HMAC από την κανονικοποιημένη PII) σας επιτρέπει να αναζητήσετε χωρίς αποτοξίνωση.

6. 3 Αγωγοί κανονικοποίησης

ηλεκτρονικό ταχυδρομείο: χαμηλότερη, κομμένη, κανονική τοπική μερίδα (χωρίς επιθετική «κατανάλωση» σημείων για όλους τους τομείς).
τηλέφωνο: E.164 (με κωδικό χώρας), αφαίρεση χαρακτήρων μορφοποίησης.
διεύθυνση/όνομα: μεταγραφή με κανόνες, κοπή, χώροι κατάρρευσης.

7) Πολυπλοκότητα και απομόνωση

Κλειδιά και χώροι ονομάτων ανά ενοικιαστή: KEK/DEK ανά ενοικιαστή.
Πολιτικές αποτοξίνωσης: ρόλος + στόχος + αιτία + έλεγχος γεγονότων.
Η κρυπτοθέτηση των δεδομένων των ενοικιαστών - ανάκληση KEK και καταστροφή → βολτ DEK καθίσταται άχρηστη (για τα αρχεία της).

8) Ολοκλήρωση

8. 1 Βάσεις δεδομένων και κρύπτες

Φυλάσσετε μόνο τις μάρκες στους πίνακες λειτουργίας.
Σπάνιες περιπτώσεις απαιτούν αποτοξίνωση κατά τη διάρκεια της πτήσης μέσω πληρεξουσίου/παράγοντα.
Token caches - μόνο στη μνήμη με ένα σύντομο TTL, χωρίς γράψιμο στο δίσκο.

8. 2 Analytics/BI/ML

Σε DWH/λίμνη, μάρκες ή hashes. Η σύνδεση εκτελείται στις προσδιοριστικές μάρκες του αντίστοιχου πεδίου εφαρμογής.
Για ML, προτιμώνται η ψευδωνυμοποίηση και τα συγκεντρωτικά στοιχεία. να αποφεύγουν την αποκατάσταση προσώπων.

8. 3 Υπηρεσίες υποστήριξης και καταπολέμηση της απάτης

UI με μάσκα ('+ 380') και επισοδική αποτοκινοποίηση για εύλογο λόγο (κωδικός λόγου) + δεύτερος παράγοντας.

9) Περιστροφή, εκδόσεις και κύκλος ζωής

Διαχωρίστε τη συμβολική έκδοση ταυτότητας και κρυπτογράφησης (v1/v2).
Επαναγραφή: αλλαγή KEK χωρίς επαφή με τα δεδομένα.
Σχέδιο συμβάντων: βασικός συμβιβασμός → άμεση ανάκληση, απαγόρευση της αποτοκίνησης, ανατροπή σε «μόνο ανάγνωση», επανακυκλοφορία.
TTL: κατά πολιτική - μόνιμη (αναγνωριστικά) ή σύντομη (εφάπαξ συνδέσεις/προσωρινή ενσωμάτωση).

10) Επιδόσεις και αξιοπιστία

Επιταχύνσεις υλικού (AES-NI/ARMv8), δέσμες συνδέσεων με KMS, μνήμη περιτυλιγμένων DEK.
Οριζόντια κλιμάκωση TS, split read/write μονοπάτια.
Το πλήκτρο Idempotency για το mokenize επαναλαμβάνει για σημαίες δικτύου.
DR/HA: πολλαπλές περιοχές, ασύγχρονο αντίγραφο βολτ, τακτικές δοκιμές ανάκτησης.
SLO: p99 latency 'mokenize' ≤ 50-100 ms. 'detokenize' ≤ 50 ms, διαθεσιμότητα 99 ευρώ. 9%.

11) Παρατηρησιμότητα, λογιστικός έλεγχος, συμμόρφωση

Μετρήσεις: QPS με μεθόδους, A&A σφάλματα, μερίδιο των αποτοξινώσεων (με ρόλους/στόχους), cache hit-rate, KMS χρόνο λειτουργίας.
Έλεγχος (αμετάβλητος): κάθε αποτοξίνωση με «ποιος/τι/γιατί/πού», ερώτημα hash, αποτέλεσμα.
Πολιτικές διατήρησης και WORM για το ημερολόγιο (βλέπε Auditing and Immutable Logs).
Συμμόρφωση: GDPR (ελαχιστοποίηση, δικαίωμα διαγραφής μέσω κρυπτογράφησης), PCI DSS (για PAN - FPE/ψευδωνυμοποίηση), υποβολή εκθέσεων ISO/SOC.

12) Δοκιμές και ασφάλεια

Δοκιμές μονάδας κρυπτογράφησης: σταθερότητα των προσδιοριστικών σημείων, επαλήθευση του AAD και αστοχία εάν δεν ταιριάζει.
Αρνητικές δοκιμές: επιθέσεις λεξικού, αντίστροφη μορφή, όριο ταχύτητας, CSRF (για web panels), SSRF για backends.
Χάος: Το KMS/Volt δεν είναι διαθέσιμο, κληροδοτημένο κλειδί, μερική αντιγραφή.
Η περιοδική κόκκινη ομάδα επιχειρεί να αποτοξινωθεί χωρίς λόγο και μέσω πλευρικών καναλιών.

13) Μίνι συνταγές

pii_norm = normalize(value)
aad   = scope          tenant          field dek   = kms. unwrap(kek_id, wrapped_dek_for_field)
token = aead_siv_encrypt (dek, pii_norm, aad) # deterministically store_vault (token, pii_norm, meta)
return token

pii_norm = normalize(value)
pepper  = kms. get_secret("pepper/"+tenant+"/"+field)
token = HMAC_SHA256 (pepper, pii_norm) # deterministically within scope return base64url (token)

allow if role in {SupportL2, Risk, DPO} and purpose in {KYC, Chargeback, DSAR}
and mTLS and OIDC_claims match tenant and reason_code provided and ticket_id linked rate_limit per actor <= N/min

kms. disable_key(kek_tenant)
access to unwrap is blocked → detoxification is not possible schedule_destroy (kek_tenant, hold_days=7)

14) Συχνά λάθη και τρόπος αποφυγής τους

Μάρκες σε κούτσουρα. Καλύψτε οι ίδιες τις μάρκες (ειδικά τις αναστρέψιμες) - αυτά είναι ευαίσθητα δεδομένα.
Ενιαίο κλειδί "για τα πάντα. "Διαιρείται ανά ενοικιαστή/πεδίο/στόχο· χρήση AAD.
Ομαλοποίηση "τυχαία. "Η ασυντόνιστη αγιοποίηση καταστρέφει την αναζήτηση/joynes.
Αποτοξίνωση χωρίς αιτία/περιορισμό. Πάντα κωδικός λόγου, λογιστικός έλεγχος και όριο επιτοκίου.
FPE ως πανάκεια. Χρήση μόνο όταν η μορφή είναι πραγματικά απαραίτητη και με το σωστό πεδίο/κλειδιά.
Μακρόβια κρύπτες στο δίσκο. Κρυψώνα μόνο στη μνήμη με TTL.
Δεν υπάρχει διαδικασία επαναχρησιμοποίησης. Η περιστροφή του KEK χωρίς downtime είναι υποχρεωτική.

15) Κατάλογοι ελέγχου

Πριν από την πώληση

• Επιλεγμένα ενδεικτικά προφίλ ανά πεδίο/στόχο (αναστρεψιμότητα/προσδιορισμός/πεδίο εφαρμογής).
• Η βασική ιεραρχία (KEK/DEK), οι πολιτικές KMS, ο έλεγχος των βασικών λειτουργιών είναι διαμορφωμένες.
• Ομαλοποίηση εισόδου, εφαρμογή αγωγού επικύρωσης μορφής.
• Επιτρεπόμενο όριο επιτοκίου, κωδικοί λόγου, αμετάβλητος έλεγχος.
• Πέρασαν δοκιμές για επιθέσεις λεξικού/μορφή/πρόσβαση βάσει ρόλων.
• DR/αντίγραφο volt και βασικό σχέδιο συμβιβασμού.

Πράξη

• Μηνιαία έκθεση αποτοξίνωσης (ποιος/γιατί/πόσο).
• Περιοδική περιστροφή KEK/πιπεριού, ανακατασκευή DEK.
• Κόκκινη ομάδα για μη εξουσιοδοτημένη αποτοξίνωση/πλευρικά κανάλια.
• Αναθεωρήστε την ομαλοποίηση καθώς αναδύονται νέες μορφές/περιφέρειες.

16) ΣΥΧΝΈΣ ΕΡΩΤΉΣΕΙΣ

Q: Tokenization = ανωνυμοποίηση

Ω όχι. Tokenization - ψευδωνυμοποίηση. Η πηγή θα αποκατασταθεί (ή θα είναι συγκρίσιμη) εάν υπάρχουν κλειδιά/βολτ. Για να βγούμε από τη σφαίρα του GDPR απαιτείται αξιόπιστη ανωνυμοποίηση.

Ε: Πώς να αναζητήσετε μέσω ηλεκτρονικού ταχυδρομείου/τηλεφώνου χωρίς αποτοξίνωση

A: Αποσυναρμολόγηση με αγιοποίηση. Για διευθύνσεις/πλήρη ονόματα - hash ευρετήρια/κλειδιά αναζήτησης και βοηθητικοί πίνακες.

Ε: Πότε χρειάζεται FPE

A: Όταν μια εξωτερική σύμβαση/σχήμα απαιτεί μορφότυπο (μήκος/αλφάβητο). Σε άλλες περιπτώσεις, οι κανονικές μάρκες AEAD είναι απλούστερες και ασφαλέστερες.

Ε: Είναι δυνατόν να υπάρχει ένα σύμβολο για όλους τους σκοπούς

Α: Καλύτερα διαφορετικά πεδία εφαρμογής (πεδίο εφαρμογής/σκοπός): η ίδια ΠΙ δίνει διαφορετικές ενδείξεις για διαφορετικές εργασίες → μειώνει τον κίνδυνο συσχέτισης.

Ε: Πώς ασκείτε το «δικαίωμα αφαίρεσης»

A: Διαγραφή κρυπτογράφησης: ανάκληση KEK/DEK για το αντίστοιχο σύνολο και/ή διαγραφή της καταχώρισης στο volt + καταστροφή των κλειδιών πεδίου/μέρους· στην ανάλυση - TTL/συγκέντρωση/αποπροσωποποίηση.

• «Μυστική διαχείριση»
• «Στην κρυπτογράφηση ανάπαυσης»
• «Κρυπτογράφηση διαμετακόμισης»
• «Privacy by Design (GDPR)»
• «Λογιστικός έλεγχος και αμετάβλητα αρχεία καταγραφής»
• «Διαχείριση κλειδιών και εναλλαγή»