Informa(on security suppor(ng data protec(on - - PowerPoint PPT Presentation

European Union Agency for Network and Information Security www.enisa.europa.eu

1

Informa(on ¡security ¡suppor(ng ¡data ¡protec(on ¡

Rodica.Tirtea@enisa.europa.eu ¡ ¡ ABC4trust ¡panel ¡@ ¡TDL, ¡Vienna, ¡7th ¡April, ¡2014 ¡

European Union Agency for Network and Information Security www.enisa.europa.eu

2

Securing ¡Europe’s ¡Informa(on ¡Society ¡

Seat ¡in ¡Heraklion ¡ OperaDonal ¡Office ¡in ¡Athens ¡

European Union Agency for Network and Information Security www.enisa.europa.eu

3

ENISA activities

Hands ¡on ¡ ¡ Policy ¡ ¡ ImplementaDon ¡ RecommendaDons ¡

Mobilising ¡ ¡ Communi(es ¡

European Union Agency for Network and Information Security www.enisa.europa.eu

4

Policy ¡context ¡

• “Everyone ¡has ¡the ¡right ¡to ¡the ¡protecDon ¡of ¡personal ¡data ¡concerning ¡them”. ¡ ¡
• ArDcle ¡16, ¡The ¡Treaty ¡of ¡Lisbon, ¡The ¡Treaty ¡on ¡the ¡FuncDoning ¡of ¡the ¡EU ¡ ¡
• EU ¡legislaDon ¡reform ¡

– Data ¡ProtecDon ¡ ¡

• The ¡direcDve ¡(1995) ¡to ¡be ¡replaced ¡ ¡
• the ¡new ¡regulaDon ¡for ¡data ¡protecDon ¡

– Personal ¡data ¡protecDon ¡ ¡

» by ¡design ¡and ¡by ¡default ¡

– Right ¡to ¡erasure ¡ – SancDons ¡

– Electronic ¡signatures ¡& ¡electronic ¡idenDficaDon ¡ ¡

• new ¡proposed ¡regulaDon ¡

– Cybersecurity ¡strategy, ¡proposed ¡NIS ¡direcDve ¡

– Security ¡by ¡design ¡and ¡privacy ¡by ¡design ¡

www.enisa.europa.eu

5

Personal data lifecycle perspective, in practice with challenges & vulnerabilities, and how information security can contribute

from creation and

• rigination
• Minimal disclosure

principle not applied

• Unlawful collection
• 3rd parties

storage, processing, use, transmission

• Data leakage, data

breaches

• Data shared outside

the given consent

to destruction or decay

• Difficult to track all copies
• Unclear duration of

storage

• Permanent removal issues

Terminology (left) - ISO WD 27018

Protec'on ¡means ¡

¡

• ­‑ ¡Anonymous ¡creden.als ¡
• ­‑ ¡Privacy ¡enhancing ¡

technologies ¡ ¡

• ­‑ ¡Format ¡preserving ¡encryp.on ¡

¡ ¡

• ­‑ ¡Machine ¡readable ¡policies ¡ ¡
• ­‑ ¡Secure ¡storage ¡and ¡transfer ¡
• ­‑ ¡Authorized ¡access ¡

¡ ¡ ¡

• ­‑ ¡Secure ¡dele.on ¡techniques ¡

¡ ¡ ¡

European Union Agency for Network and Information Security www.enisa.europa.eu

6

Ini(al ¡stage. ¡Digitalisa(on; ¡data ¡collec(on ¡

• Between ¡the ¡issues ¡

– Minimal ¡disclosure ¡principle ¡not ¡applied ¡ – Unlawful ¡collecDon, ¡intercepDon, ¡manipulaDon ¡of ¡data ¡

• Limited ¡control ¡in ¡case ¡of ¡IoT ¡sensor/actor ¡ ¡

– 3rd ¡parDes ¡

• Some ¡protecDon ¡means ¡

– Anonymous ¡credenDals ¡ – Privacy ¡enhancing ¡technologies ¡

• Related ¡ENISA ¡acDviDes ¡

– Survey ¡of ¡accountability, ¡trust, ¡consent, ¡tracking, ¡security ¡and ¡privacy ¡ mechanisms ¡in ¡online ¡environments ¡(2011) ¡ – Privacy, ¡Accountability ¡and ¡Trust ¡– ¡Challenges ¡and ¡OpportuniDes ¡(2011) ¡ – Bibersweet ¡cookies. ¡Some ¡security ¡and ¡privacy ¡consideraDons ¡(2011) ¡ – Privacy ¡consideraDons ¡of ¡online ¡behavioral ¡tracking ¡(2012) ¡ ¡ – Study ¡on ¡data ¡collecDon ¡and ¡storage ¡in ¡the ¡EU ¡(2012) ¡

European Union Agency for Network and Information Security www.enisa.europa.eu

7

Data ¡processing, ¡distribu(on, ¡mone(za(on ¡

• Some ¡issues ¡

– Data ¡leakage, ¡data ¡breaches, ¡data ¡shared ¡outside ¡the ¡given ¡consent ¡ – AggregaDon ¡of ¡mulDple ¡streams ¡of ¡data ¡ – ManipulaDon ¡of ¡data, ¡remote ¡controls ¡

• Some ¡protecDon ¡means ¡

– Secure ¡storage ¡and ¡transfer ¡ – Access ¡authorizaDon, ¡security ¡policies ¡

• References ¡– ¡ENISA ¡work ¡

– Study ¡on ¡moneDsing ¡privacy. ¡An ¡economic ¡model ¡for ¡pricing ¡personal ¡ informaDon ¡(2012) ¡ – Algorithms, ¡Key ¡Sizes ¡and ¡Parameters ¡Report. ¡2013 ¡RecommendaDons ¡ ¡ – Recommended ¡cryptographic ¡measures ¡-­‑ ¡Securing ¡personal ¡data ¡(2013) ¡ ¡ – Securing ¡personal ¡data ¡in ¡the ¡context ¡of ¡data ¡retenDon ¡(2013) ¡ – On ¡the ¡security, ¡privacy ¡and ¡usability ¡of ¡online ¡seals. ¡An ¡overview ¡(2013) ¡

European Union Agency for Network and Information Security www.enisa.europa.eu

8

Destruc(on ¡or ¡decay ¡ ¡

• Issues ¡

– Difficult ¡to ¡track ¡all ¡copies ¡ – Unclear ¡duraDon ¡of ¡storage ¡ – Permanent ¡removal ¡issues ¡

• Some ¡measures ¡

– Secure ¡deleDon ¡techniques ¡

• ENISA ¡contribuDons ¡
• ­‑ ¡The ¡right ¡to ¡be ¡forgoben ¡– ¡between ¡expectaDons ¡and ¡pracDce ¡(2012) ¡
• ­‑ ¡Recommended ¡cryptographic ¡measures ¡-­‑ ¡Securing ¡personal ¡data ¡(2013) ¡ ¡

European Union Agency for Network and Information Security www.enisa.europa.eu

9

Informa(on ¡security ¡suppor(ng ¡data ¡protec(on ¡

• Incen(ves ¡required ¡to ¡close ¡the ¡gap ¡between ¡

– Stated ¡rights ¡and ¡online ¡pracDce ¡ – ExpectaDons ¡and ¡pracDce ¡ – Research ¡results ¡and ¡implemented ¡soluDons ¡

• Incen(ves ¡such ¡as ¡

– Legal ¡framework ¡supporDng ¡techniques ¡

• ExempDons ¡(“overhead ¡incenDves”) ¡or ¡
• Financial ¡moDves ¡

European Union Agency for Network and Information Security www.enisa.europa.eu

10

Annual Privacy Forum, Athens, 20-21 May, 2014

“closing the loop from research to policy”

• Jointly ¡organized ¡by ¡ ¡

– ENISA, ¡DG ¡CONNECT, ¡University ¡of ¡Piraeus ¡

• Aim ¡

– debate ¡among ¡academia, ¡industry ¡and ¡policy ¡makers ¡ ¡ ¡

www.privacyforum.eu

www.enisa.europa.eu European Union Agency for Network and Information Security

Follow ENISA:

Thank ¡you ¡for ¡your ¡aFen(on! ¡ ¡

For ¡more ¡informa(on ¡visit: ¡hFps://www.enisa.europa.eu ¡ ¡ ¡ ¡

¡ ¡