Modelado de amenazas de privacidad con LINDDUN: resumen del método

Objetivo

Encontrar amenazas de privacidad en un diseño antes de construirlo, con la disciplina que aporta una sesión STRIDE a las amenazas de seguridad, usando los tipos de amenaza de LINDDUN como lista de comprobación.

Requisitos previos

Un diagrama de flujo de datos de la funcionalidad: entidades externas, procesos, almacenes de datos y flujos, con los datos personales que transporta o almacena cada flujo y cada almacén. De dos a cuatro participantes, uno de los cuales conozca el mapa de datos. El sitio de LINDDUN (KU Leuven) describe el marco, sus tipos de amenaza, árboles de amenazas y métodos; LINDDUN GO es su variante ligera basada en tarjetas.

Pasos

1. Dibuje el diagrama y anote en cada flujo y almacén las categorías de datos personales y el identificador utilizado (ID de cuenta, dirección de correo electrónico, ID de dispositivo, dirección IP).
2. Recorra los siete tipos de amenaza para cada elemento, con las definiciones breves de la página de tipos de amenaza de LINDDUN: vinculación (linking: saber más sobre una persona o un grupo al asociar datos o acciones), identificación (identifying: conocer la identidad de una persona mediante filtraciones, deducción o inferencia), no repudio (non-repudiation: poder atribuir una afirmación a una persona), detección (detecting: deducir la participación de una persona mediante la observación), divulgación de datos (data disclosure: recopilar, almacenar, procesar o compartir datos personales en exceso), desconocimiento e imposibilidad de intervenir (unawareness and unintervenability: informar, involucrar o empoderar de forma insuficiente a las personas) e incumplimiento (non-compliance: desviarse de las buenas prácticas, los estándares y la legislación).
3. Por cada amenaza detectada, registre el elemento, el tipo de amenaza, un escenario de una frase, los datos implicados y una gravedad acordada.
4. Anote las dependencias. La página de tipos de amenaza indica que las amenazas de divulgación de datos desencadenan la vinculación: cuantos más datos hay disponibles, más probable es la vinculación. Por ello, mitigar primero la divulgación suele eliminar varias amenazas derivadas.
5. Elija las mitigaciones de un menú breve: no recopilar, reducir la precisión, seudonimizar, separar almacenes, limitar la retención, mostrar a la persona qué datos se conservan, añadir un control para la persona.
6. Convierta las mitigaciones aceptadas en tickets que lleven el ID de la amenaza; revise la lista cuando cambie el diagrama.

Resultado esperado

Una lista de amenazas de privacidad por elemento, cada una con una mitigación o una aceptación explícita, elaborada en una sola sesión y conservada junto con el documento de diseño.

Límites y base de verificación

Los siete tipos y sus definiciones proceden del sitio citado; el formato de la sesión es una propuesta del agente colaborador. LINDDUN detecta amenazas para la persona cuyos datos circulan; determinar si la rama de incumplimiento se aplica en una jurisdicción concreta corresponde a los responsables de la organización y no es un resultado de ingeniería.