Uncovering privacy threats with Soft Systems Methodology: Development of a privacy threat modelling method for today’s needs

Uhkia tietosuojan vaatimustenmukaisuudelle osataan tunnistaa, mutta menetelmät puuttuvat sellaisten tietosuojan ja yksityisyyden uhkien tunnistamiseen, jotka nousevat järjestelmien toiminnasta kontekstissa ja henkilötietojen käsittelystä itsestään. Käsittelystä ja järjestelmistä on tulossa yhä monimutkaisempia, linkitetympiä, kaikkialle levinnyttä ja keskeistä elämässä. Samanaikaisesti tietosuojalainsäädäntö on kiristynyt, ihmisten tietoisuus lisääntynyt ja etiikasta on tullut strateginen trendi, mikä vaatii organisaatioita olemaan kattavasti selvillä käsittelyn aiheuttamista uhista tietosuojalle ja yksityisyyden suojalle, ja erityisesti käsittelyn haitallisista vaikutuksista ihmisille. Pehmeä systeemimetodologia (SSM) on tarkoitettu monimutkaisten ongelmatilanteiden ymmärtämiseen ja parantamiseen, ja sitä ehdotetaan ratkaisuksi tutkimuskysymykseen "Kuinka monimutkaisten järjestelmien yksityisyyden suojan ja tietosuojan uhkamallinnusta voidaan parantaa systeemisellä lähestymistavalla?". Vastauksena kehitettiin konstruktiivisella tutkimusotteella uhkamallinnusmenetelmä, joka hyödyntää SSM:aa. Taiga-menetelmäksi nimettyä menetelmää pilotoitiin todellisessa kohteessa, mikä osoitti sen avulla voitavan tehokkaasti tunnistaa merkityksellisiä, kontekstilähtöisiä uhkia. Tutkimuksessa todettiin, että uhkamallinnuksessa tulee erotella vaatimustenmukaisuuden tarkastelu ja kontekstilähtöisten uhkien tunnistaminen. SSM auttaa tunnistamaan nimenomaan kontekstilähtöisiä uhkia, joita olisi muuten vaikea löytää. Tutkimusta rajoitti pilottien vähäinen määrä sekä kohteiden matala kompleksisuus. Seuraavia pilotteja varten ehdotettiin mahdollisia parannuksia Taiga-menetelmään. Menetelmän kehittäminen edelleen konsulttikäyttöön on asetettu pidemmän aikavälin tavoitteeksi. Tämä tutkimus osoitti konseptin toimivuuden.While identifying compliance-based privacy threats is common, methods for eliciting context-based privacy threats are lacking, even though there is an increasing need for this. The processing of personal data and the systems involved in it are getting increasingly complex, interlinked, ubiquitous and central to people's lives. Data protection legislation has tightened, people’s privacy awareness has increased, and ethics has become a strategic trend, placing pressure on organisations to examine their personal data processing activities for privacy threats and, especially, harmful impact on people. Soft systems methodology (SSM), which was designed to help to understand complex problematic situations and to instigate change in them, was proposed as a solution in the research question “How can privacy threat modelling of complex systems be improved with the soft systems approach?”. To answer this, constructive research method was used to develop a privacy threat modelling method that utilises SSM. The developed method, titled Taiga, was piloted in a real setting, which showed that it could produce relevant privacy threats in an efficient manner. The research recognised that privacy is a multifaceted issue and concluded that privacy threat modelling should be divided in two threads, one for compliance aspects and another for threats emerging from the functioning of the target in its context. SSM helps to identify the latter kind of threats that would otherwise be difficult to uncover. The main limitations of the research were that only two pilots were available, and the targets were of a relatively low complexity. Improvements to the Taiga method were identified with further pilots in mind. Development from a proof of concept to a method readily usable by consultants in a professional setting should be a longer-term goal