4.13. Ontologische analyse van privacybedreiging

Het hiervoor besproken ontologische bedreigingsmodel (figuur 4.7) wordt toegepast op en verfijnd naar het functionele ontwerp van het systeem en de systeemomgeving (bijvoorbeeld een Internet Service Provider, die een bepaalde dienstverlening aanbiedt). Het nieuwe `threat model' gaat uit van: a. het feit dat privacybescherming ongelijk is aan informatiebeveiliging; b. de parameters van Little & Rogova te weten: 1. intentie, 2. voornemen of motivatie, 3. mogelijkheid, middel en bekwaamheid; c. kwetsbaarheid en zwakte, en d. (gunstige) aanvalomstandigheden. Eveneens zijn in het model opgenomen de 'assets', de actoren en de bedreigingen.1 In de hieronder weergegeven figuur 4.10 kan bij toepassing bijvoorbeeld van de `threat agent' aangegeven worden of er sprake is van wraak, welvaart, druk van derden, lidmaatschap van terroristische organisatie, wat het doel van de bedreiging vanuit de `threat agent' kan zijn, zoals bemachtigen, vernietiging en demoralisering. In de analyse worden de (potentiële) middelen opgenomen waarmee een bedreiging door de agent kan worden uitgevoerd en waar de gunstige omstandigheden voor een aanval kunnen liggen, gegeven de intentie, de bekwaamheid en de middelen.

Deze analyse heeft geleid tot een gekwantificeerde weging van de bedreigingen met betrekking tot de website Min side (norge.no), die in het PET-Web project werd ontwikkeld. Het betreft dan de weging van de 'assets', het object waarop de bedreiging zich richt en waardoor de bedreiging kan ontstaan (bijvoorbeeld de gebruikers, ISP, identiteitsverschaffer), de mogelijkheden van de toegang tot het systeem, de `threat agents' (bijvoorbeeld de beheerders, de ontwikkelaars, de hackers), en de motieven van de aanval (intentie, motieven, middel, bekwaamheid, gelegenheid). Vervolgens worden de bedreigingen aan de hand van de impactweging gerangschikt. Het gewogen resultaat dient als input voor de te nemen beslissingen om het functionele ontwerp aan te passen en meer privacy-beschermend te maken. Kortom deze analyse spoort de zwakke plekken op.

In figuur 4.10 zou een `attack tree'2 kunnen worden gemaakt op basis van de formule: verwacht verlies = kans x impact van een bedreiging. Voor iedere bedreiging wordt vastgesteld wat de grootste impact is van deze bedreiging (in termen van kosten), en wat van elke bedreiging de grootste kans van slagen is (geschat in procenten). Deze getallen worden per bedreiging vastgesteld en met elkaar vermenigvuldigd. Dit leidt tot de verwachte verliezen per bedreiging. Vervolgens wordt gekeken wat per bedreiging de kosten zijn om ze op te lossen, en of de investeringskosten om de bedreiging te mitigeren de moeite waard zijn. Bij de economische behandeling van investeringsbeslissingen in PET in paragraaf 7.13 wordt op deze calculaties dieper ingegaan.