LINDDUN
일곱 가지 프라이버시 위협 범주로 개인정보 관점의 위협을 체계적으로 도출하는 방법론.
분류 / 관점 / 적용 규모
프라이버시관점: 자산규모: 시스템
핵심 단계 / 구성요소
- Linkability (연결 가능성)개인의 신원을 몰라도 둘 이상의 데이터나 행위를 서로 연결할 수 있는 위협이다.
- Identifiability (식별 가능성)데이터로부터 특정 개인을 식별해 낼 수 있는 위협이다.
- Non-repudiation (부인 불가)개인이 자신의 행위나 주장을 부인할 수 없게 되는 프라이버시 위협이다.
- Detectability (탐지 가능성)관찰을 통해 특정 데이터나 개인의 존재 여부를 알아낼 수 있는 위협이다.
- Disclosure of information (정보 노출)필요 이상으로 개인정보를 수집·저장·공유해 노출되는 위협이다.
- Unawareness (인지 부족)개인이 자신의 정보 처리에 대해 충분히 인지·통제하지 못하는 위협이다.
- Non-compliance (규정 미준수)개인정보 보호 원칙이나 법·규정을 준수하지 못하는 위협이다.
산출물
데이터 흐름도 요소별로 일곱 범주에 매핑된 프라이버시 위협 목록과 완화 대책.
강점
- 보안이 아닌 프라이버시에 특화된 체계적 위협 도출을 제공한다.
- 위협 트리 지식 베이스로 구체적 위협까지 세분화할 수 있다.
- GDPR 등 규제 대응을 위한 개인정보 영향평가와 연계하기 좋다.
한계
- 일곱 범주와 위협 트리가 방대해 전체 적용에 시간이 많이 든다.
- 프라이버시·데이터 보호 도메인 지식이 요구된다.
- 보안 위협은 STRIDE 등 별도 기법으로 보완해야 한다.
대표 사용처
개인정보를 다루는 시스템의 프라이버시 설계(Privacy by Design)와 개인정보 영향평가에 활용된다.
관련 표준
- LINDDUN 프라이버시 위협 모델링
- ISO/IEC 29100 Privacy framework