Tokenisierung ersetzt sensible Daten durch zufällig generierte Ersatzwerte (Tokens), die keinen Rückschluss auf die Originaldaten erlauben. Anders als bei Verschlüsselung gibt es keine mathematische Beziehung zwischen Token und Originaldatum — die Zuordnung existiert nur in einer gesicherten Datenbank. Typische Einsatzgebiete sind Kreditkartennummern und personenbezogene Daten. Im ISMS ist Tokenisierung eine wirksame Maßnahme zur Datenminimierung. Sie reduziert den Umfang schutzbedürftiger Daten in nachgelagerten Systemen erheblich.