IEC TR 27550：隐私工程——将设计即隐私融入系统

隐私工程基础

在 ubiquitous 数据处理时代，隐私工程已成为一门关键学科。IEC TR 27550提供了一个将隐私原则整合到系统开发生命周期中的全面框架，弥合了高层隐私原则（如ISO/IEC 29100中的原则）与实施这些原则所需的实用工程方法论之间的差距。该技术报告建立了通用词汇和概念模型，使隐私工程师、系统架构师和法律合规官员能够有效协作。

框架的核心是”设计即隐私”和”默认即隐私”概念，报告通过特定的工程策略将其可操作化，包括最小化、隐藏、分离、聚合、告知、控制、执行和证明。每种策略都附有具体的实施模式，适用于系统开发的不同阶段，从需求获取到架构设计、实施、测试和部署。

隐私风险评估与威胁建模

IEC TR 27550引入了一种结构化的隐私风险评估方法，作为传统信息安全风险管理的补充。安全风险评估侧重于保护信息资产的机密性、完整性和可用性，而隐私风险评估则关注个人数据处理对个体可能产生的后果。该报告提供了关于使用LINDDUN（可链接性、可识别性、不可否认性、可检测性、披露、不知情、不合规）等方法进行隐私特定威胁建模的详细指导，系统地识别七个维度的隐私威胁。

将隐私风险评估与现有ISMS流程整合是该报告的关键贡献之一。已实施ISO/IEC 27001的组织可以扩展其风险管理框架以纳入隐私风险，而无需重复工作。报告提供了将隐私威胁与信息安全控制对齐的映射表，展示了许多安全控制如何发挥双重作用，同时突显了需要隐私特定控制的缺口。

在系统开发生命周期中嵌入隐私工程

该技术报告将隐私工程活动映射到系统开发生命周期的每个阶段。在需求阶段，工程师根据指南使用基于角色的分析和隐私场景建模，与功能需求一同获取隐私需求。设计阶段融合了架构模式，如数据流分割、基于属性的凭证和安全多方计算。在实施阶段，报告推荐了特定的编码实践，包括隐私保护日志记录（避免在日志中包含个人数据）和实现随数据跨系统边界传输的粘性策略。

测试和验证受到特别关注，指南涵盖了隐私测试用例生成、隐私验收标准以及使用隐私影响评估作为验证工具。报告还涵盖了运营阶段，建议进行持续隐私监控、针对隐私泄露定制的事件响应程序，以及作为组织持续改进周期一部分的定期隐私评审。

常见问题解答