近日PCI安全标准理事会发布的“令牌化指南”立即引起行业的不同反应，令牌化指用随机生成的数字替代支付卡主帐户号码的安全方案。

令牌方案通常以卡号码末四位开头生成一组16位数字替代主帐户号码（PAN）。采用令牌方案能使商户缩小PCI合规范围，降低成本。根据PCI安全规范，最常见的非合规做法就是存储客户支付卡信息，令牌化使得商户的计算机网络中不再存储这些信息，有效地隐藏PAN，降低了数据泄露的可能性。

PCI理事会在指南中指出，商户可自主决定实施何种令牌化方案，从方案的开发、运营，至令牌验证的环境，这些将作为年度合规评估的一部分。目前市场有很多可用的技术，但缺乏支付环境中一致的实施标准。

指南一经发布立即得到行业的反应。Trustwave安全专家指出，令牌化也许是有效的，但是最终聪明的黑客仍可能找到攻击系统的办法。

理事会还指出，存在不同安全级别的令牌，一部分高价值令牌仍然在合规范围之内。尽管不能直接用来获取PAN或其他卡信息，但仍具备被攻击从而转化为价值或用于欺诈交易的潜能。

商户应了解，令牌化不是替代PCI标准，它只是一种策略，能够大幅度地减小商户的合规范围。范围的减小程度依赖于几个因素，包括令牌如何生成、商户如何有效隔离令牌引擎与其他网络部分、商户保护令牌密钥的能力、加密机制的管理等等。

供应商对于指南的颁布大多给予赞美之辞，并期望指南进一步推进，包括推出评估机构的验证标准等等。

批评的声音来自Shift4，该公司是令牌生成与接受技术的发明者，也是PCI理事会令牌化工作组的代表。Shift4于2005年发布这种技术，但没有申请专利保护。该公司在博客中称，工作小组的成员都有各自的主意，有的过度支持利用专利保护令牌化技术，这意味着未来将从中获得利益。“指南”毫不隐晦地将使理事会和合格评估机构（QSA）从中获益，而商户仅仅是为了合规而被要求去验证一个显然是安全的方案。PCI理事会尚未对该公司的评价作出回应。