Informa(on security suppor(ng data protec(on - PowerPoint PPT Presentation

Informa(on ¡security ¡suppor(ng ¡data ¡protec(on ¡ Rodica.Tirtea@enisa.europa.eu ¡ ¡ ABC4trust ¡panel ¡@ ¡TDL, ¡Vienna, ¡7 th ¡April, ¡2014 ¡ 1 European Union Agency for Network and Information Security www.enisa.europa.eu

Securing ¡Europe’s ¡Informa(on ¡Society ¡ OperaDonal ¡Office ¡in ¡Athens ¡ Seat ¡in ¡Heraklion ¡ 2 European Union Agency for Network and Information Security www.enisa.europa.eu

ENISA activities Policy ¡ ¡ RecommendaDons ¡ ImplementaDon ¡ Mobilising ¡ ¡ Communi(es ¡ Hands ¡on ¡ ¡ 3 European Union Agency for Network and Information Security www.enisa.europa.eu

Policy ¡context ¡ • “Everyone ¡has ¡the ¡right ¡to ¡the ¡protecDon ¡of ¡personal ¡data ¡concerning ¡them”. ¡ ¡ • ArDcle ¡16, ¡The ¡Treaty ¡of ¡Lisbon, ¡The ¡Treaty ¡on ¡the ¡FuncDoning ¡of ¡the ¡EU ¡ ¡ • EU ¡legislaDon ¡reform ¡ – Data ¡ProtecDon ¡ ¡ • The ¡direcDve ¡(1995) ¡to ¡be ¡replaced ¡ ¡ • the ¡new ¡regulaDon ¡for ¡data ¡protecDon ¡ – Personal ¡data ¡protecDon ¡ ¡ » by ¡design ¡and ¡by ¡default ¡ – Right ¡to ¡erasure ¡ – SancDons ¡ – Electronic ¡signatures ¡& ¡electronic ¡idenDficaDon ¡ ¡ • new ¡proposed ¡regulaDon ¡ – Cybersecurity ¡strategy, ¡proposed ¡NIS ¡direcDve ¡ – Security ¡by ¡design ¡and ¡privacy ¡by ¡design ¡ 4 European Union Agency for Network and Information Security www.enisa.europa.eu

Personal data lifecycle perspective, in practice with challenges & vulnerabilities, and how information security can contribute Protec'on ¡means ¡ ¡ • Minimal disclosure -­‑ ¡Anonymous ¡creden.als ¡ principle not applied -­‑ ¡Privacy ¡enhancing ¡ from creation and • Unlawful collection technologies ¡ ¡ • 3 rd parties origination -­‑ ¡Format ¡preserving ¡encryp.on ¡ ¡ ¡ • Data leakage, data -­‑ ¡Machine ¡readable ¡policies ¡ ¡ breaches storage, • Data shared outside -­‑ ¡Secure ¡storage ¡and ¡transfer ¡ processing, use, the given consent -­‑ ¡Authorized ¡access ¡ transmission ¡ ¡ ¡ • Difficult to track all copies • Unclear duration of -­‑ ¡Secure ¡dele.on ¡techniques ¡ to destruction or storage ¡ • Permanent removal issues decay ¡ ¡ Terminology (left) - ISO WD 27018 5 www.enisa.europa.eu

Ini(al ¡stage. ¡Digitalisa(on; ¡data ¡collec(on ¡ • Between ¡the ¡issues ¡ – Minimal ¡disclosure ¡principle ¡not ¡applied ¡ – Unlawful ¡collecDon, ¡intercepDon, ¡manipulaDon ¡of ¡data ¡ • Limited ¡control ¡in ¡case ¡of ¡IoT ¡sensor/actor ¡ ¡ – 3rd ¡parDes ¡ • Some ¡protecDon ¡means ¡ – Anonymous ¡credenDals ¡ – Privacy ¡enhancing ¡technologies ¡ • Related ¡ENISA ¡acDviDes ¡ – Survey ¡of ¡accountability, ¡trust, ¡consent, ¡tracking, ¡security ¡and ¡privacy ¡ mechanisms ¡in ¡online ¡environments ¡(2011) ¡ – Privacy, ¡Accountability ¡and ¡Trust ¡– ¡Challenges ¡and ¡OpportuniDes ¡(2011) ¡ – Bibersweet ¡cookies. ¡Some ¡security ¡and ¡privacy ¡consideraDons ¡(2011) ¡ – Privacy ¡consideraDons ¡of ¡online ¡behavioral ¡tracking ¡(2012) ¡ ¡ – Study ¡on ¡data ¡collecDon ¡and ¡storage ¡in ¡the ¡EU ¡(2012) ¡ 6 European Union Agency for Network and Information Security www.enisa.europa.eu

Data ¡processing, ¡distribu(on, ¡mone(za(on ¡ • Some ¡issues ¡ – Data ¡leakage, ¡data ¡breaches, ¡data ¡shared ¡outside ¡the ¡given ¡consent ¡ – AggregaDon ¡of ¡mulDple ¡streams ¡of ¡data ¡ – ManipulaDon ¡of ¡data, ¡remote ¡controls ¡ • Some ¡protecDon ¡means ¡ – Secure ¡storage ¡and ¡transfer ¡ – Access ¡authorizaDon, ¡security ¡policies ¡ • References ¡– ¡ENISA ¡work ¡ – Study ¡on ¡moneDsing ¡privacy. ¡An ¡economic ¡model ¡for ¡pricing ¡personal ¡ informaDon ¡(2012) ¡ – Algorithms, ¡Key ¡Sizes ¡and ¡Parameters ¡Report. ¡2013 ¡RecommendaDons ¡ ¡ – Recommended ¡cryptographic ¡measures ¡-­‑ ¡Securing ¡personal ¡data ¡(2013) ¡ ¡ – Securing ¡personal ¡data ¡in ¡the ¡context ¡of ¡data ¡retenDon ¡(2013) ¡ – On ¡the ¡security, ¡privacy ¡and ¡usability ¡of ¡online ¡seals. ¡An ¡overview ¡(2013) ¡ 7 European Union Agency for Network and Information Security www.enisa.europa.eu

Destruc(on ¡or ¡decay ¡ ¡ • Issues ¡ – Difficult ¡to ¡track ¡all ¡copies ¡ – Unclear ¡duraDon ¡of ¡storage ¡ – Permanent ¡removal ¡issues ¡ • Some ¡measures ¡ – Secure ¡deleDon ¡techniques ¡ • ENISA ¡contribuDons ¡ -­‑ ¡ The ¡right ¡to ¡be ¡forgoben ¡– ¡between ¡expectaDons ¡and ¡pracDce ¡(2012) ¡ -­‑ ¡Recommended ¡cryptographic ¡measures ¡-­‑ ¡Securing ¡personal ¡data ¡(2013) ¡ ¡ 8 European Union Agency for Network and Information Security www.enisa.europa.eu

Informa(on ¡security ¡suppor(ng ¡data ¡protec(on ¡ • Incen(ves ¡required ¡to ¡close ¡the ¡gap ¡between ¡ – Stated ¡rights ¡and ¡online ¡pracDce ¡ – ExpectaDons ¡and ¡pracDce ¡ – Research ¡results ¡and ¡implemented ¡soluDons ¡ • Incen(ves ¡such ¡as ¡ – Legal ¡framework ¡supporDng ¡techniques ¡ • ExempDons ¡(“overhead ¡incenDves”) ¡or ¡ • Financial ¡moDves ¡ 9 European Union Agency for Network and Information Security www.enisa.europa.eu

Annual Privacy Forum, Athens, 20-21 May, 2014 “closing the loop from research to policy” • Jointly ¡organized ¡by ¡ ¡ – ENISA, ¡DG ¡CONNECT, ¡University ¡of ¡Piraeus ¡ • Aim ¡ – debate ¡among ¡academia, ¡industry ¡and ¡policy ¡makers ¡ ¡ ¡ www.privacyforum.eu 10 European Union Agency for Network and Information Security www.enisa.europa.eu

Thank ¡you ¡for ¡your ¡aFen(on! ¡ ¡ ¡ For ¡more ¡informa(on ¡visit: ¡hFps://www.enisa.europa.eu ¡ ¡ ¡ ¡ ¡ Follow ENISA: European Union Agency for Network and Information Security www.enisa.europa.eu