OWASP Top 10 Privacy Risks

Der Typ gibt an, ob ein Risiko eher organisatorisch, technisch oder beides ist. #|Typ|Titel|Häufigkeit|Schaden|Beschreibung P1||Schwachstellen in Web-Anwendungen|Hoch|Sehr hoch|Schwachstellen sind ein zentrales Problem in jedem System, mit dem sensible Nutzerdaten erhoben, verarbeitet und genutzt werden. Bestehen Fehler im Design oder in der Implementierung der Applikation, werden Probleme nicht entdeckt oder Sicherheitspatches nicht unverzüglich eingespielt, führt dies mit hoher Wahrscheinlichkeit zu einer Verletzung des Persönlichkeitsrechts. Dieses Risiko wird bereits in anderen Projekten behandelt, wie der OWASP Top 10 Liste der häufigsten Sicherheitsrisiken für Webanwendungen. P2||Datenabfluss beim Betreiber|Hoch|Sehr hoch|Wird die unerwünschte Preisgabe personenbezogener oder personenbeziehbarer Daten an nicht autorisierte Personen nicht wirksam verhindert, ist dies ein Verlust der Vertraulichkeit. Ursachen sind entweder ein vorsätzlich durchgeführter Datenabzug oder unbeabsichtigte Fehler wie beispielsweise unzureichendes Zugriffsmanagement, unsichere Datenablage, Datendopplung oder fehlendes Problembewusstsein (Awareness). P3||Unzureichende Reaktion bei einer Datenpanne|Hoch|Sehr hoch|Betroffene werden nicht über mögliche Pannen oder Datenlecks benachrichtigt, die durch Angriffe oder unbeabsichtigte Ereignisse entstehen. Angemessene Abhilfemaßnahmen zum Schließen der Lücken und Beseitigung der Ursache fehlen. P4||Einwilligung für alles|Sehr hoch|Hoch|Das aggregierte oder unangemessene Einholen der Einwilligung vom Benutzer zur Legitimierung der Datenverarbeitung. Die Einwilligung wird kollektiv für alles eingeholt und nicht separat für jeden Zweck wie z.B. Nutzung der Webseite und Analyse für Werbung. P5||Intransparente Nutzungs-bedingungen|Sehr hoch|Hoch|Informationen zur Datenverarbeitung wie Erhebung, Speicherung und Nutzung personenbezogener Daten sind unzureichend. Diese Informationen sind nicht leicht zugänglich oder für juristische Laien nicht verständlich aufbereitet. P6||Unzureichende Löschung personen-bezogener Daten|Hoch|Hoch|Personenbezogene Daten werden nicht termingerecht oder nicht effektiv nach Zweckablauf bzw. aufgrund einer Löschanfrage gelöscht. P7||Unzureichende Datenqualität|Mittel|Sehr hoch|Es werden veraltete, inkorrekte oder gefälschte personenbezogene Daten genutzt. Datenaktualisierungen oder -korrekturen finden nicht in ausreichendem Maße statt. P8||Fehlendes oder unzureichendes Session-Ende|Mittel|Sehr hoch|Unzureichendes Beenden von Sessions. Dies kann dazu führen, dass zusätzliche Nutzerdaten ohne Einverständnis oder Wissen des Nutzers gesammelt werden. P9||Zugriff auf oder Änderungen von Benutzerdaten nicht möglich|Hoch|Hoch|Benutzer können auf ihre Daten nicht zugreifen, diese ändern oder löschen. P10||Sammeln von Daten, die über den eigentlichen Zweck hinaus gehen|Hoch|Hoch|Es werden Beschreibungsdaten, demographische Daten oder sonstige personenbezogene Daten gesammelt, die nicht für den vereinbarten Zweck der Anwendung benötigt werden. Ebenso werden Daten gesammelt, für deren Erhebung der Nutzer keine Einverständniserklärung abgegeben hat.

El tipo determina si un riesgo es organizacional , técnico, o ambos. #|Tipo|Título|Frecuencia|Impacto|Descripción P1||Vulnerabilidades en aplicaciones web|Alto|Muy Alto|La vulnerabilidad es un problema clave en cualquier sistema que protege u opera con datos confidenciales del usuario. Si no se diseña e implementa adecuadamente una aplicación, se detecta un problema o se aplica rápidamente una solución (parche), es probable que se produzca una violación de la privacidad. Este riesgo también abarca la lista de las 10 principales vulnerabilidades de aplicaciones web de OWASP y los riesgos que se derivan de ellas. P2||Fuga de datos del lado del operador|Alto|Muy Alto|No impedir la filtración de cualquier información que contenga o esté relacionada con los datos del usuario, o los datos en sí, a ninguna parte no autorizada que resulte en la pérdida de confidencialidad de los datos. Introducido ya sea debido a una violación maliciosa intencional o error involuntario, por ejemplo, causado por controles de administración de acceso insuficientes, almacenamiento inseguro, duplicación de datos o falta de conciencia. P3||Respuesta insuficiente por filtración de datos|Alto|Muy Alto|No informar a las personas afectadas (interesados) sobre una posible violación o fuga de datos, como resultado de eventos intencionales o no intencionales; no remediar la situación arreglando la causa; sin intentar limitar las fugas. P4||Consentimiento en todo|Muy Alto|Alto|uso inapropiado del consentimiento para el procesamiento legítimo. El consentimiento está "en todo" y no se recopila por separado para cada propósito (por ejemplo, el uso del sitio web y la elaboración de perfiles para publicidad). P5||Políticas, términos y condiciones opacas|Muy Alto|Alto|No proporcionar suficiente información para describir cómo se procesan los datos, como su recopilación, almacenamiento y procesamiento. No hacer que esta información sea fácilmente accesible y comprensible para las personas que no son abogados. P6||Eliminación insuficiente de datos personales|Alto|Alto|No eliminar datos personales de manera efectiva y/o oportuna tras la finalización del propósito especificado o previa solicitud. P7||Calidad de datos insuficiente|Medio|Muy Alto|El uso de datos de usuario desactualizados, incorrectos o falsos. No actualizar o corregir los datos. P8||Falta o insuficiente mecanismo de expiración de sesión|Medio|Muy Alto|No cerrar eficazmente la sesión. Puede dar lugar a la recopilación de datos de usuario adicionales sin el consentimiento o el conocimiento del usuario. P9||Imposibilidad de los usuarios para acceder y modificar datos|Alto|Alto|Los usuarios no tienen la capacidad de acceder, cambiar o eliminar datos relacionados con ellos. P10||Recopilación de datos no requeridos para el propósito consentido por el usuario|Alto|Alto|Recopilación de datos descriptivos, demográficos o cualquier otro dato relacionado con el usuario que no sean necesarios para los fines de la operación. Se aplica también a los datos para los que el usuario no proporcionó su consentimiento.

O tipo determina se um risco é organizacional , técnico ou ambos. #|Tipo|Título|Frequência|Impacto|Descrição P1||Vulnerabilidades em aplicações web|Alto|Muito Alto|A vulnerabilidade é um problema importante em qualquer sistema que protege ou opera com dados confidenciais do usuário. A falha em projetar e implementar adequadamente um aplicativo, detectar um problema ou aplicar imediatamente uma correção (patch) provavelmente resultará em uma violação de privacidade. Esse risco também abrange a lista do OWASP Top 10 e os seus riscos resultantes. P2||Vazamento de dados pelo lado do operador|Alto|Muito Alto|Falha em evitar o vazamento de qualquer informação que contenha ou esteja relacionada aos dados do usuário, ou os próprios dados, para qualquer parte não autorizada, resultando na perda da confidencialidade dos dados. Introduzido devido a violação maliciosa intencional ou erro não intencional, por exemplo causados por controles de gerenciamento de acesso insuficientes, armazenamento inseguro, duplicação de dados ou falta de conscientização. P3||Resposta insuficiente devido ao vazamento de dados|Alto|Muito Alto|Não informar as pessoas afetadas (titulares dos dados) sobre uma possível violação ou vazamento de dados, resultante de eventos intencionais ou não; falha em remediar a situação corrigindo a causa; não tentando limitar os vazamentos. P4||Consentimento em tudo|Muito Alto|Alto|Agrega��o ou uso impr�prio de consentimento para processamento leg�timo. O consentimento � "sobre tudo" e n�o � coletado separadamente para cada finalidade (por exemplo, uso do site e cria��o de perfil para publicidade). P5||Pol�ticas, termos e condi��es n�o transparentes|Muito Alto|Alto|N�o fornecendo informa��es suficientes para descrever como os dados s�o processados, como sua coleta, armazenamento e processamento. Falha em tornar essas informa��es facilmente acess�veis e compreens�veis para n�o advogados. P6||Exclus�o insuficiente de dados pessoais|Alto|Alto|Falha na exclus�o efetiva e/ou oportuna de dados pessoais ap�s o t�rmino da finalidade especificada ou mediante solicita��o. P7||Qualidade dos dados insuficiente|M�dio|Muito Alto|O uso de dados do usu�rio desatualizados, incorretos ou falsos. Falha ao atualizar ou corrigir os dados. P8||Expira��o de sess�o ausente ou insuficiente|M�dio|Muito Alto|Falha em impor o encerramento da sess�o de forma eficaz. Pode resultar na coleta de dados adicionais do usu�rio sem o consentimento ou conhecimento do usu�rio. P9||Incapacidade dos usu�rios de acessar e modificar seus dados|Alto|Alto|Os usu�rios n�o t�m a capacidade de acessar, alterar ou excluir dados relacionados a eles. P10||A coleta de dados n�o requeridos para o prop�sito consentido pelo usu�rio|Alto|Alto|Coletar dados descritivos, demogr�ficos ou quaisquer outros dados relacionados ao usu�rio que n�o sejam necess�rios para os prop�sitos do sistema. Aplica-se tamb�m a dados para os quais o usu�rio n�o deu consentimento.