最近、PCI DSS普及の火付け役になるのではないかと、新しい技術が脚光を浴びています。 トークナイゼーション（Tokenization）です。 トークナイゼーションは、PCIDSSにおいて、データ保護の要件（要件3.4）に記載されている4つのデータ保護方法の1つですが、データ保護ばかりでなく、実はPCI DSS審査範囲（スコープ）の縮小に貢献します。
　トークナイゼーションとは、カード番号などの機密データを乱数により生成する別の文字列に置き換え、保存・利用する技術です。 トークン化されたデータは、元データと1対1で結びつき、元データの再取得が可能です。この結果、トークナイゼーションは、他のデータ保護方法を組み合わせていいとこ取りをしたようないくつかの特長を持ちます。

　まず、PCI DSS審査範囲（スコープ）を縮小できるという特長があります。トークン化されたデータは、元データと全く数学的な関係性を持たないデータになります。つまり、無力化され、万が一漏えいしたとしても、それ単体では全く意味のないデータです。その結果、PCI DSSの審査範囲から外すことができます。

　トークナイゼーションは、セキュリティ自体も強化できます。 カード番号をトークン化し、無力化することにより、実際のカード番号の存在する箇所を極限まで限定化することができます。 その結果、特に守らなければならないシステムとそうでもないシステムを分けることができるようになります。 これは、リスクレベルに応じたセキュリティ対策を実施できることも意味しており、リスクレベルの高いカード情報が存在している箇所には、高度なセキュリティを、トークン化されたデータのみが存在するリスクレベルが比較的高くない箇所には、それ相応のセキュリティ対策を行うことができるようになります。
　企業が全てのシステム環境に対し、最高レベルのセキュリティ施策を講ずることは得策とはいえません。リスクベースのアプローチを取ることにより、企業全体としてより高いセキュリティ対策を実現することができるようになります。
　さらに、トークナイゼーションは、近年増えている内部犯行による情報漏洩事故のリスクを低減させることにもつながります。 今までカード番号を扱う必要のなかった従業員は、トークン化されたデータのみを扱うようにすることができます。必要ないところでは、扱わせないことにより、社内からのデータ漏えいのリスクを物理的に低減することにも貢献します。

　トークナイゼーションは、16桁の数字の羅列であるカード番号を同じ16桁の意味のない数字の羅列に変換します。つまり、変換前も変換後もまったく同じデータフォーマットおよびデータ長になります。その結果、既存のシステムのアプリケーションやデータベーススキームを変更することなく、トークン化後のデータを取り扱うことができるため、システム改修が最低限に抑えられます。

　トークナイゼーションは、カード番号の任意の桁（頭文字や末尾文字）をそのまま残し、それ以外をトークン化するという運用が可能です。 カード取り扱い企業の業務プロセスにおいては、カード番号の特定の部分を活用して業務を行うことはよくありますが、任意の桁を変更しないでおけば、わざわざサーバーにアクセスし元データの取得をせずに、変換されたトークンをそのまま業務に活用することができます。 例えば、コールセンターで最初の６桁でカードの種類を把握するあるいは下4桁をお客様に確認したり、納品書出力アプリケーションなどでカード番号の下4桁を出力したりする業務などで、トークン化されたデータをそのまま活用できます。

　トークナイゼーションは、PCI DSSで注目されている技術ではありますが、実際には様々な機密情報の保護に利用できます。 トークンフォーマットという、元の機密データおよびトークン化したデータのフォーマットを変更することにより、さまざまな機密データに対応できます。 この対応範囲は、利用するトークナイゼーション技術の仕様によってきます。 例えば、EMCジャパンの「RSA Data Protection Manager」というパッケージ製品を例に取ってみると、 入力データの桁数を任意の桁数に変更、または桁数を指定しない設定、出力されるトークンの桁数指定、文字種指定（数字のみ、アルファベットのみ、 英数字混在、特殊文字含むなど）、オリジナルのデータを残す桁の指定（頭文字と末尾文字）、任意の既定文字列の追加（頭文字と末尾文字の指定）、スペース文字列の保持・変換などがあります。
　この自由なトークンフォーマットの変更により、例えば入力の桁数が毎回違うようなクレジットカードの名義をトークン化することができるほか、 銀行の口座番号や運転免許証番号、住民基本台帳ネットワークシステム（住基ネット）の住民票コードなどのデータ保護にも活用が可能です。

　最近行われているPCI DSS関連のセミナーやイベントなどでトークナイゼーションという言葉が出ないことはほとんどなく、 今後、日本でもこのトークナイゼーションの認知、および導入が進むと思われます。 PCI DSSの準拠がなかなか進まない大きな理由は、コストで、そのコストを大幅に削減できるのがトークナイゼーションです。
カードブランドやカード会社、プロセッサや加盟店、また様々なベンダーが協力して、PCI DSSの普及を促進し、 より安全なクレジットカード決済環境が日本にも構築され、消費者が安心してクレジットカードが利用できるよう、推し進めていく必要があるといえます。