Un’architettura con vault è un design di tokenizzazione in cui un vault protetto o un servizio di mappatura conserva la corrispondenza tra un token sostitutivo e il valore sensibile originale. Quando un sistema autorizzato ha bisogno del valore originale, richiede una consultazione o la detokenizzazione tramite tale servizio.
Il vault è un perimetro di sicurezza di grande valore: un accesso non autorizzato potrebbe esporre molti valori sottostanti o consentirne il recupero. I difensori dovrebbero limitare e monitorare gli accessi, proteggere i percorsi amministrativi e le API e verificare la segmentazione della rete. I sistemi che possono interrogare il vault o influenzarlo possono continuare a essere rilevanti ai fini della sicurezza o della conformità anche se memorizzano soltanto token. La tokenizzazione può ridurre l’esposizione dei dati, ma il vault e i servizi a esso collegati richiedono comunque controlli rigorosi.