PADRES: 隐私、数据管理和安全工具（2022）

软件X 17（2022）100895原始软件出版物PADRES：隐私、数据管理和安全工具Fábio Pereira，Paul Crocker，Valderi R.Q.莱特哈特葡萄牙科维良贝拉内政大学信息学系VALORIZA，葡萄牙波塔莱格雷理工学院内生资源价值化研究中心，邮编7300-555ar t i cl e i nf o文章历史记录：收到2020年收到修订版，2021年8月10日接受，2021年保留字：GDPR隐私安全漏洞a b st ra ct自2018年5月以来，公司必须遵守《通用数据保护条例》（GDPR）。合规过程可能非常昂贵，例如，需要专门的人力资源来研究法规，然后在公司程序、IT应用程序和基础设施中实施任何更改。考虑到这一点，PADRES是一个隐私，数据监管和安全的工具，用于分析Web应用程序并帮助合规过程。这个开源软件包含了GDPR的要点，以清单和问卷的形式按原则组织。这些问题将手动回答。还可以选择执行安全分析，这是通过集成开源扫描工具（如NMAP，ZAP和cookie分析器）来执行的。这些工具的输出被保存，并生成一个最终的合并报告，其中包含所获得的信息以及一组建议和建议。版权所有©2021作者。由爱思唯尔公司出版这是CC BY-NC-ND下的开放获取文章许可证（http://creativecommons.org/licenses/by-nc-nd/4.0/）。代码元数据当前代码版本v2.0用于此代码版本的代码/存储库的永久链接https://github.com/ElsevierSoftwareX/SOFTX-D-20-00011法律代码许可证LGPL v2.1使用git的代码版本控制系统使用的软件代码语言、工具和服务Python、Angular、flask、Docker编译要求、操作环境依赖性Linux、Docker如果可用，链接到开发人员文档/手册https://github.com/FabioAndrePereira/PADRES/blob/master/README.md问题支持电子邮件fabio. ubi.pt1. 动机和意义《通用数据保护条例》（GDPR）合规性已成为企业的优先事项，但仍是企业面临的重大挑战，尤其是财务和人力资源。许多企业，尤其是规模较小的企业，没有为必须做出的改变做好准备，也没有意识到不遵守规定可能带来的后果。研究发现，这些问题的发生是因为实际的法规是*通讯作者：葡萄牙科维良贝拉内政大学信息学院和信息系。电子邮件地址：fabio@segal.ubi.pt（Fábio Pereira），crocker@di.ubi.pt（Paul Crocker），valderi@ipportalegre.pt（Valderi R.Q.Leithardt）。https://doi.org/10.1016/j.softx.2021.100895“模糊，模棱两可和冗长”，这意味着任何人谁不具备所需的法律和技术熟练程度可以找到理解的规定非常困难。例如，GDPR规定公司必须为个人数据提供合理的保护水平[2]，但“合理”一词并没有很好的定义。此外，“隐私的设计”是促进，没有一个适当的指导如何才能实现。工程师和开发人员在尝试实现法律合规性时会遇到两个主要问题[3]。第一个是确定可以应用哪些法规，第二个是与能够制定能够遵守这些法规的政策的能力有关，特别是因为从法律文本中提取要求可能是一项容易出错的工作。理解和遵守GDPR所需的陡峭学习曲线也2352-7110/©2021作者。由爱思唯尔公司出版。这是一篇开放获取的文章，使用CC BY-NC-ND许可证（http://creativecommons.org/licenses/by-nc-nd/4.0/）。可在ScienceDirect上获得目录列表SoftwareX期刊主页：www.elsevier.com/locate/softxFábio Pereira，Paul Crocker and Valderi R.Q.莱特哈特软件X 17（2022）1008952这使得这是一个昂贵的过程，特别是对于没有专门的法律部门或负担不起法律咨询的中小企业。PADRES（隐私、数据管理和安全）软件表1付费审计软件列表。软件名称URL它旨在帮助企业评估其GDPR合规性。该软件专注于分析Web应用程序。运行软件后，GDPR分类是并生成一份包含以下建议的最终报告SolarWinds访问权限管理器ManageEngine事件日志分析器www.solarwinds.com/access-rights-managerwww.manageengine.com/products/eventlog哪些可以改进。该软件包含系统管理员或开发人员必须手动回答的调查。调查中包含的具体问题是根据GDPR的结构化分析构建的。因为根本没有作为没有安全的隐私，开发的工具也LogicGatewww.manageengine.com/products/eventlogGDPR 365www.gdpr365.comNetwrix Auditorwww.netwrix.com/auditor.html ReallySimple Systemswww.reallysimplesystems.comVigilant Software GDPRwww.vigilantsoftware.co.uk/topic/gdpr-managerManager包括用于搜索漏洞的过程这是通过集成开源扫描工具的组合来完成的，以便针对[4]中提到的已知风险测试平台。PADRES可扩展意味着开放源码社区可以很容易地改进软件，针对具体国家的情况进行微调，或侧重于立法的具体方面分析的主要目标是由遵循典型3层架构的应用程序组成的Web应用程序，即通过应用程序层或中间件访问的数据通过用户界面/表示层访问的业务逻辑。PADRES是为分析研究基础设施而开发的，特别是EPOS（欧洲板块观测系统）基础设施和GNSS（全球导航卫星系统）社区的应用。然而，该软件具有一般的应用范围，因此提供了GDPR合规性的通用工具。基于物联网设备的其他分层架构（如[5]）以及基于云和边缘计算以及5G技术的最新数据管理架构（如[6]）也可以由具有适当访问权限的运营商使用我们的工具进行分析。建议对加密算法进行分析，但这超出了我们工具的范围，必须手动查阅相关文献，如[7]。考虑到GDPR合规性的需要，一些研究文章-已发布了指南和工具，以帮助和指导公司提取和确定法律要求，分析和实现合规。我们在此简要回顾其中一些现有的解决方案基于问卷和检查表，如[8]。这里提供了几份带有指导和清单的文件[9]中的清单将法规分为4类，每一类都有与特定子类别相关联的GDPR条款。ICO [10]提出的工具比以前的工具更直观，因为它是一个真正的清单。该清单分为4类，每一类都有几个问题和关于每一点的额外信息，从而使回答问题更容易。另一个GDPR评估工具是[11]。与上述工具相比，[11]有更多的类别。它涉及个人数据处理原则、数据主体权利或数据泄露等主题。此外，在每个主题中，它明确说明了重点及其含义，并提供了相应GDPR文章的链接。微软也有一套工具[12]。这里给出了合规经理“简化GDPR合规工作”的清单所有这些基于清单的工具都确定了最常见的监管义务，但没有给出要应用的精确技术或缓解措施[13]中描述的一项工作是一种方法学的一个例子，这个软件库根据一组输入和规则生成基于表单的Web界面然而OneTrustwww.onetrust.com该工具并不直接涉及隐私问题，开发人员仍然需要设计输入。特定的GDPR审计和分析软件以免费和开源形式存在，并通过付费应用程序提供。开源软件//goaccess.io/是一个Web服务器日志分析器，用于分析Web服务器统计数据并事实上，GDPR审计和分析软件主要由付费应用程序组成。此类专有付费软件的最新列表可在www.comparitech.com/net-admin/gdpr-compliance-software上找到。这里简要介绍8个软件（见表1）。1.1. PADRES开发方法PADRES软件最重要的方面是为我们的GDPR问卷提取相关问题为了能够做到这一点，我们首先回顾了现有的和相关的方法。Christmann等人[14]指出，小公司的一个主要问题是获取与隐私和法律概念相关的专业知识。他们提出了一种结构化的方法，用于根据功能和非功能需求确定云服务的IT安全和法律要求。Boella等人在[15]中回顾并分析了表示法律需求工程的法律知识的不同方法现有的机制提取的法律要求进行比较，然后提出的方式，Gjermundrod等人提出的解决方案。[16]给出了解决GDPR数据处理要求的具体解决方案。他们的解决方案包括一个隐私的设计框架，基于3个模块。在他们的解决方案中，他们提供了有关如何收集数据，如何提供数据可追踪性以及如何与其他实体共享数据的技术信息。最近Tsohou等人[17]讨论了GDPR合规平台的要求。本文报告了DEFeND EU项目https://www.defendproject.eu及其构建支持GDPR的整体平台的目标（例如数据控制器为支持GDPR而要求的功能，如监控GDPR请求和其他支持工具）[18]的最新论文报告了一种正式的GDPR分析方法，旨在从法规中提取知识。在这里，GDPR被提取到一个概念网格中，包含144372条记录，可用于多种用途，包括帮助准备GDPR问卷，并可在线获取同样重要的是要参考以下“噩梦般的信件：GDPR下的主题访问请求”。[19 ]第10段。这封信描述了公司可能遇到的GDPR信息请求方面的最坏情况。研究旨在探讨公司如何回应由具备广泛法律知识的人士提出的以及支持数据管理的技术。Fábio Pereira，Paul Crocker and Valderi R.Q.莱特哈特软件X 17（2022）1008953表2GDPR原则[2]。1合法性、公平性和透明度2目的限制3数据最小化4精度5储存限制6完整性和保密性7问责在审查了前面提到的文章后，得出的结论是，最合适的监管框架是将其分为GDPR原则，如表2所示。然后，对于每一个原则，列出了需要遵循和研究的最重要的要点，更多细节可以在[20]中找到。然后手动提取每个原则的点。每一点都必须简单明了。例如，对于第一个原则，以下几点“同意是否告知个人处理目标？”或您的申请是否提供了有关个人权利的任何信息？被定义。这些要点和原则在数据库中可用，可以通过应用程序或API的端点访问最后，为了提出伴随问题的建议，也使用了相同的信息来源，但这一次不是将它们转化为规则，而是转化为可能的实施方法。针对可能更难理解和执行的规则编写了建议。例如，考虑规则“你有任何机制来对数据进行匿名化吗？”则如果用户回答否，则报告将包含建议“数据的假名化是一种数据管理技术，其中数据控制器将个人的直接标识符（诸如电子邮件或电话号码）与假名交换”。2. PADRES软件说明PADRES使用客户端前端Web应用程序使用Angular框架构建后端使用REST架构，并使用python Web框架构建后端连接到一个数据库，该数据库预先填充了需要回答的GDPR问题和相关建议。每个问题都与自己的组相关联，从而可以清楚地了解问题与GDPR之间的联系，并在未来更容易添加新问题。还提供了以BLOB格式存储最终报告的元数据和执行软件工具的结果目 前 已 经 安 装 了 三 个 开 源 安 全 评 估 工 具 Wapiti 、 ZAP 和NMAP。这些由用户通过图形界面执行。使用这些工具API将来自每个工具的报告与来自GPDR调查问卷的报告合并在一起2.1. PADRES软件结构图1给出了PADRES体系结构的概述。这种架构使得不同的客户端可以与应用程序交互，通过REST API访问前端数据库提供的数据此外，可以为每个原则添加更多规则，这使得PADRES易于扩展。安全评估工具可能需要很长时间才能执行。为了异步执行这些工具，使用了一个PythonRQ worker和一个Redis数据库。这样扫描请求Fig. 1. PADRES架构。图二. 协作容器的Docker图。被添加到队列中，当结束时，将在前端应用程序上显示为通知。整个解决方案都是使用Docker打包 图图2展示了Docker层和每个容器中使用的技术信息。Docker Compose用于定义和运行多容器应用程序。2.2. PADRES软件功能该软件的主要功能是创建GDPR问题、集成安全评估工具以及创建包含意见和建议的最终报告。GDPR问题在应用程序的前端呈现。当由用户提交时，这些被评估，并且根据答案，针对具有否定答案的问题创建一组建议。在此过程结束时，将生成第二个功能，安全扫描，由用户可选地激活。用户可以选择哪些安全工具要使用的IP和目标IP。启动安全扫描，当它们完成时，每个扫描的报告与上述功能的部分报告合并，从而生成PDF格式的最终报告。这是在前端访问的，特别是在历史导航选项卡上，在那里也可以看到以前的报告。Fábio Pereira，Paul Crocker and Valderi R.Q.莱特哈特软件X 17（2022）1008954图三. GDPR问题示例。这是一个主要问题，建议用户更加了解密码化的目的，如果必要的话可以实现它。图像中关于加密的下一点也被回答为不符合要求。可能用户回答不正确，因为门户访问只能通过HTTPS。报告中的以下项目来自cookie扫描器。这表明只有两个cookie被保存。一个与PHP会话相关，第二个是XSRF-TOKEN，用于防止CSRF攻击。还运行了其他安全工具（NMAP，ZAP），此处省略了ZAP的结果，但指出了一些适当的漏洞警报图四、ww w .e x a m p le .c o m 的 ZAP扫描结果https://gnssproducts.epos.ubi.pt/。3. 说明性实例在本节中，我们将介绍在两个应用程序中应用PADRES的结果。第 一 个 是 EPOS 全 球 导 航 卫 星 系 统 产 品 门 户 网 站https://gnssproducts.epos.ubi.pt，这是一个专门收集、分析和传播时间序列和速度图等全球导航卫星系统产品的网络应用程序。GNSS产品门户网站由于其认证和统计库存机制而收集个人数据。因此，GDPR直接适用于从用户登录和下载数据和产品收集的数据，并间接适用于某些GNSS元数据中包含的人员数据。PADRES工具由负责维护门户基础设施并了解该应用程序使用的数据流的EPOS GNSS IT工作人员运行。前端应用程序显示了要回答的问题，如图所示。 3PADRES工具用户选择要使用的安全工具，这些工具在后台运行。结果仅在最终报告中提供。其中一个输出如图所示。4，说明了ZAP扫描器发现的漏洞。第二个案例研究是提供服务的站点葡萄牙地球科学界pt.eu/https://intranet.c4g-该内联网使其用户能够注册和登录并与平台互动同样，PADRES由负责维护平台的IT人员执行 它导致了31个点中的15个点不符合要求，其中一个不符合要求的点如图所示。五、从这一点可以说，即使不使用匿名化，工作人员分析4. 影响这两个案例研究不仅用于验证软件概念，而且也是对现有问卷进行微调的一个机会。然而，由于问题的规模和范围以及需要更多的最终用户投入和案例研究，该软件的总体影响目前有限。通过添加更多问题来扩展工具很容易通过直接向数据库添加更多问题来完成这是构建更全面和完整的合规性问题集的一种非常重要和伟大的方式，可以是基于社区的努力。目前，作者将考虑使用GitHub发出的任何pull请求。事实上，该工具很容易部署，因为它是建立在Docker上的，并且是开源的，这也是重要的因素。该软件还可以通过添加进一步的安全评估工具进行扩展在这种情况下，需要研究该工具，以探索通过工具API（如果有）或通过其命令行界面和输出格式集成此类工具的最佳方式。5. 结论PADRES工具是开源的，旨在通过添加新的GDPR相关问题和建议以及添加更多用于漏洞和cookie分析的开源工具来扩展。通过这种方式，该工具可以轻松扩展为一个简单但重要的工具，帮助公司，IT基础设施管理人员和开发人员根据GDPR分析他们的应用程序Fábio Pereira，Paul Crocker and Valderi R.Q.莱特哈特软件X 17（2022）1008955竞合利益图五、 C4G GDPR不符合规定。[8]为您的组织准备一般数据保护法规-您的准备清单[在线]。 可在www.example.com上https://www.dataprotection。作者声明，他们没有已知的竞争性财务利益或个人关系，可能会影响本文报告的工作确认这项工作得到了科学和技术基金会的国家资金支持。（葡萄牙科学技术基金会）通过项目UIDB/05064/2020（VALORIZA -内源资源价值研究引用[1] Breitbarth P. GDPR 一 年 的 影 响 。 Netw Secur 2019;2019 （ 7 ） ： 11-3.http：//dx.doi.org/10.1016/S1353-4858（19）30084-4.[2] 帕斯夸莱·阿亚拉-里维拉 宽限期已经结束：实施GDPR要求的方法。2018IEEE 第 26 届 国 际 需 求 工 程 会 议 。 2018 年 ， 第 136- 146 页 。http://dx.doi.org/10.1109/RE.2018.00023。[3] 奥托PN，安东AI。在需求工程中处理法律需求。第15届IEEE国际需求工程会议。2007年，第5-14页。http://dx.doi.org/10.1109/RE.2007.65网站。[4] OWASP 十 大 应 用 程 序 安 全 风 险 - 2017 [ 在 线 ] 。 可 在 以 下 网 址 获 得 ：https://www.encurtador.com.br/amqAV。[2021年7月14日]。[5] Tewari A，Gupta B. 不同层的安全、隐私和信任物联网（IoT）框架。FutureGenerComputSyst2020;108：909-20.http://dx.doi.org/10.1016/j.future.2018.04.027网站。[6] Stergiou CL，Psannis KE，Gupta BB.通过6G无线网络在迷雾中实现基于物联网 的 大 数 据 安 全 管 理 。 IEEE Internet Things J 2021;8 （ 7 ） ： 5164-71.http://dx.doi.org/10.1109/JIOT.2020.3033131网站。[7] Saraiva D，Leithardt V，de Paula D，Sales MA，González G，Crocker P.PRISEC ： 物 联 网 设 备 对 称 密 钥 算 法 的 比 较 。 2019;19 （ 19 ） ： 4312.http://dx.doi.org/10.3390/s19194312网站。ie/sites/default/files/uploads/2019-04/A-Guide-to-help-SMEs-Prepare-for-the-GDPR. pdf. [2021年7月14日]。[9]数据控制者的GDPR检查表[在线]。可查阅https://gdpr.eu/checklist/。[2021年7月13日]。[10]控制器清单[联机]。可用在https://ico.org.uk/for-organizations/data-protection-self-assessment/professioners-checklist/.[2021年8月4日]。[11]欧 盟 GDPR 准 备 评 估 工 具 [ 在 线 ] 。 可 在 ： https ： //softsera.com/eugdpracademy/eu-gdpr-readiness-assessment-tool/. [访问2021年7月14日[12]Microsoft 工 具 和 合 作 伙 伴 如 何 支 持 GDPR 合 规 性 [ 在 线 ] 。https://www.microsoft.com/security/blog/2017/12/19/how-microsoft-tools-and-partners-support-gdpr-compliance/提供。 [访问2021年7月12日[13][10] 李 文 ， 李 文 Json-GUI- 用 于 动 态 生 成 基 于 表 单 的 Web 界 面 的 模 块 。SoftwareX 2019;9：28-34. http://dx.doi.org/10.1016/j.softx.2018.11.007网站。[14]张晓刚，张晓刚，张晓刚.确定IT安全和有关云服务的法律要求。在：IEEE云2015.[15]Boella G，Humphreys L，Muthuri R，Rossi P，van der Torre L.从法律实践的角度对法律需求工程进行批判性2014年IEEE第七届需求工程与法律国际研讨会。2014年，第14-21页。http://dx.doi.org/10.1109/RELAW.2014.6893476网站。[16]Gjermundrød H，Dionysiou I，Costa K. Privacytracker：一个符合GDPR的隐私设计框架，具有可验证的数据可追溯性控制。In：Web工程的当前趋势-ICWE 2016。计算机科学讲义，第9881卷LNCS，Springer Verlag; 2016年，第3-15页。http://dx.doi.org/10.1007/978-3-319-46963-8_1。[17]Tsohou A，Magkos E，Mouratidis H，Chrysoloras G，Piras L，PavlidisM，De- bussche J，Rotoloni M，Crespo BG-N.隐私、安全、法律和技术接受度 引 发 并 整 合 了 GDPR 合 规 平 台 的 要 求 。 Inf Comput Secur 2020.http://dx.doi.org/10.1108/ICS-01-2020-www.example.com[18]Tamburri DA.通用数据保护条例（GDPR）的设计原则：形式概念分析及其评估 。 Inf Syst 2020;91 ： 101469. http://dx.doi.org/10.1016/j.is.2019.101469 网站。[19]卡 尔 巴 里 奥 蒂 斯 角 噩 梦 信 件 ： GDPR 下 的 主 题 访 问 请 求 [在 线 ]。 网 址 ：encurtador.com.br/cqxD3[于二零二一年七月十五日查阅]。[20]德索萨·佩雷拉EPOS安全GDPR合规性。葡萄牙：贝拉内政大学; 2020，doi：10.400.6/10811。