[论文解读] Privacy Engineering Meets Software Engineering. On the Challenges of Engineering Privacy ByDesign

Blagovesta Kostova, Seda Gürses+1 more|arXiv (Cornell University)|Jul 16, 2020

Privacy, Security, and Data ProtectionSocial Sciences参考文献 78被引用 17

一句话总结

本文揭示了学术隐私工程研究与现实世界软件开发实践之间存在的关键错配，尤其是在敏捷开发与面向服务的架构中。研究提出，隐私研究必须整合软件工程的实际情境，如分布式团队、第三方服务和迭代式开发，以实现隐私保护技术的实际部署。

ABSTRACT

Current day software development relies heavily on the use of service architectures and on agile iterative development methods to design, implement, and deploy systems. These practices result in systems made up of multiple services that introduce new data flows and evolving designs that escape the control of a single designer. Academic privacy engineering literature typically abstracts away such conditions of software production in order to achieve generalizable results. Yet, through a systematic study of the literature, we show that proposed solutions inevitably make assumptions about software architectures, development methods and scope of designer control that are misaligned with current practices. These misalignments are likely to pose an obstacle to operationalizing privacy engineering solutions in the wild. Specifically, we identify important limitations in the approaches that researchers take to design and evaluate privacy enhancing technologies which ripple to proposals for privacy engineering methodologies. Based on our analysis, we delineate research and actions needed to re-align research with practice, changes that serve a precondition for the operationalization of academic privacy results in common software engineering practices.

研究动机与目标

• 识别学术隐私工程研究与当前软件工程实践之间的核心错配，特别是在敏捷开发与面向服务的开发中。
• 分析隐私研究中的假设（如集中式控制和静态系统规格）如何削弱隐私解决方案在实际中的可行性。
• 提出一项研究议程，将隐私工程重新导向现实世界的软件工程约束，包括模块化、演化性以及分布式信任。
• 倡导制定标准、监管措施和工具链，使技术性隐私解决方案与现有工程工作流和原则（如目的限制）保持一致。
• 通过解决遗留系统、持续集成以及第三方服务组合等挑战，实现隐私设计的可操作化。

提出的方法

• 对隐私技术与隐私工程方法论进行系统性文献综述，以识别关于软件架构与开发流程的隐含假设。
• 映射理想化隐私研究模型（如单体式、单开发者的系统）与现实世界软件系统（如微服务、第三方组件、敏捷团队）之间的差异。
• 分析敏捷开发与面向服务架构对威胁建模、数据流以及隐私保障的影响。
• 提出一项研究议程，聚焦于在真实工程情境中对隐私进行实证研究，包括数据流测量与开发人员实践分析。
• 探索技术解决方案，如可组合的隐私增强技术（PETs）、隐私保护监控以及PET组合的测试框架。
• 倡导将隐私工程整合到现有软件工程实践中，包括对现有系统的改造（brownfield retrofitting）、对暗发布（dark launches）和持续集成的支持。

实验结果

研究问题

• RQ1 当前的隐私工程方法论在多大程度上未能考虑现代软件开发的现实，如微服务与敏捷方法？
• RQ2 哪些关键技术与组织挑战阻碍了隐私研究在真实系统中的可操作化？
• RQ3 隐私保护技术应如何设计以实现可组合性、可更新性，并与服务编排和编排兼容？
• RQ4 在敏捷、分布式的软件生态系统中，技术上如何实现监管原则（如目的限制）？
• RQ5 标准与开发者工具在使隐私工程与现有软件工程实践保持一致方面可发挥何种作用？

主要发现

• 隐私研究通常假设为单体式、单开发者的系统且拥有完全控制权，这与分布式、服务化、敏捷的软件开发现实不符。
• 向服务化架构的转变引入了隐私工程师无法控制的新数据流与实体，从根本上改变了威胁模型，并削弱了静态隐私保障。
• 敏捷开发的迭代与演化特性与隐私工程框架所假设的稳定、固定系统规格相冲突。
• 现有隐私研究往往将软件工程视为黑箱，忽视了开发实践对隐私解决方案可行性与部署的影响。
• 迫切需要在真实工程情境中开展实证研究，包括对服务生态系统中数据流与开发人员工作流的测量。
• 未来进展取决于通过工具链、标准与可组合的PETs，将隐私工程与现有软件工程实践（如持续集成、暗发布、遗留系统改造）深度融合。