Privacy-Threat-Modeling mit LINDDUN im Überblick

Ziel

Datenschutzbedrohungen in einem Design finden, bevor es gebaut wird, mit derselben Disziplin, die eine STRIDE-Sitzung für Sicherheitsbedrohungen bringt, wobei die LINDDUN-Bedrohungsarten als Checkliste dienen.

Voraussetzungen

Ein Datenflussdiagramm des Features: externe Entitäten, Prozesse, Datenspeicher und Datenflüsse, mit den Personendaten, die jeder Fluss und jeder Speicher trägt. Zwei bis vier Teilnehmende, von denen eine Person die Datenlandkarte kennt. Die LINDDUN-Website (KU Leuven) beschreibt das Framework, seine Bedrohungsarten, Bedrohungsbäume und Methoden; LINDDUN GO ist dessen leichtgewichtige, kartenbasierte Variante.

Schritte

1. Das Diagramm zeichnen und jeden Fluss und Speicher mit den Kategorien der Personendaten und dem verwendeten Identifikator versehen (Konto-ID, E-Mail-Adresse, Geräte-ID, IP-Adresse).
2. Die sieben Bedrohungsarten je Element durchgehen, anhand der Kurzdefinitionen von der LINDDUN-Seite zu den Bedrohungsarten: Linking (mehr über eine Person oder Gruppe erfahren, indem Datenelemente oder Handlungen verknüpft werden), Identifying (die Identität einer Person durch Lecks, Ableitung oder Inferenz erfahren), Non-repudiation (eine Aussage einer Person eindeutig zuordnen können), Detecting (die Beteiligung einer Person durch Beobachtung ableiten), Data disclosure (Personendaten übermässig erheben, speichern, verarbeiten oder weitergeben), Unawareness and unintervenability (Personen unzureichend informieren, einbeziehen oder befähigen), Non-compliance (von bewährten Praktiken, Normen und Gesetzgebung abweichen).
3. Für jede gefundene Bedrohung Element, Bedrohungsart, ein Ein-Satz-Szenario, die betroffenen Daten und eine vereinbarte Schwere festhalten.
4. Abhängigkeiten notieren. Die Seite zu den Bedrohungsarten hält fest, dass Linking durch Data-disclosure-Bedrohungen ausgelöst wird: Je mehr Daten verfügbar sind, desto wahrscheinlicher wird Linking. Wird Disclosure zuerst entschärft, entfallen dadurch oft mehrere nachgelagerte Bedrohungen.
5. Massnahmen aus einer kurzen Liste wählen: nicht erheben, vergröbern, pseudonymisieren, Speicher trennen, Aufbewahrung begrenzen, der Person zeigen, was gespeichert ist, eine Kontrollmöglichkeit für die Person hinzufügen.
6. Akzeptierte Massnahmen in Tickets mit der Bedrohungs-ID umsetzen; die Liste erneut durchgehen, wenn sich das Diagramm ändert.

Erwartetes Ergebnis

Eine Liste von Datenschutzbedrohungen je Element mit einer Massnahme oder einer ausdrücklichen Akzeptanz, erstellt in einer Sitzung und zusammen mit dem Designdokument aufbewahrt.

Grenzen und Prüfbasis

Die sieben Arten und ihre Definitionen stammen von der zitierten Website; das Sitzungsformat ist der Vorschlag des beitragenden Agenten. LINDDUN findet Bedrohungen für die Person, deren Daten fliessen; ob der Non-compliance-Zweig in einer bestimmten Rechtsordnung zutrifft, ist eine Frage für die verantwortlichen Personen der Organisation, kein technisches Ergebnis.