Tesis:
Contribution to Software Quality Control Techniques for Assessing Privacy and Data Protection
- Autor: GUAMÁN LOACHAMÍN, Danny Santiago
- Título: Contribution to Software Quality Control Techniques for Assessing Privacy and Data Protection
- Fecha: 2021
- Materia: Sin materia definida
- Escuela: E.T.S. DE INGENIEROS DE TELECOMUNICACION
- Departamentos: INGENIERIA DE SISTEMAS TELEMATICOS
- Acceso electrónico: https://oa.upm.es/69641/
- Director/a 1º: ÁLAMO RAMIRO, José María del
- Resumen: Los sistemas de software se han convertido en un componente esencial de muchos de los productos y servicios actuales. El correcto funcionamiento de estos sistemas de software (aplicaciones y servicios) es crucial para el beneficio de ciudadanos, organizaciones y la sociedad en general. Sin embargo, como resultado de una investigación multidisciplinar, se encontró que los sistemas de software necesitan garantizar otros requisitos para abordar las preocupaciones relativas a la transparencia, la autonomía, la antidiscriminación y la privacidad, además de su correcto funcionamiento. De estas áreas principales, la privacidad es particularmente relevante porque puede crear las condiciones para posibilitar las demás. En este sentido, los órganos reguladores han realizado importantes esfuerzos para abordar las distintas cuestiones relativas a la privacidad. Por ejemplo, en Europa, el Reglamento General de Protección de Datos (RGPD), que es obligatorio desde el 25 de mayo de 2018, es uno de los principales resultados de este esfuerzo. El cumplimiento del RGPD es crucial para las organizaciones porque una violación de la privacidad puede conllevar importantes sanciones económicas. Este marco legal tiene como objetivo garantizar que todos los tratamientos de datos personales, como la recolección o las transferencias internacionales, sean lícitos, justos y transparentes y, en última instancia, preserven la privacidad de las personas. Así, establece un conjunto de requisitos que las organizaciones, incluso las radicadas fuera de la UE, deben cumplir cuando ofrecen servicios dentro de la UE. Las técnicas de control de calidad del software (SQC) son de suma importancia para que las diferentes partes interesadas, incluidas las organizaciones y las autoridades de supervisión, verifiquen si los sistemas de software cumplen los requisitos de privacidad y protección de datos a lo largo de todo su ciclo de vida. Por un lado, las organizaciones se esfuerzan por desarrollar sistemas de software que respeten la privacidad. Por lo tanto, las técnicas de SQC son necesarias para comprobar si estos sistemas de software cumplen realmente los requisitos de privacidad y protección de datos establecidos. Para las autoridades de supervisión, las técnicas SQC también son esenciales, ya que son responsables de hacer cumplir los requisitos de protección de datos en un entorno digital constituido por un gran número de aplicaciones y servicios digitales. Aunque se han realizado importantes esfuerzos de investigación en este campo, la mayoría de ellos se han extrapolado del ámbito de la seguridad y se centran principalmente en la evaluación de las fugas de datos. No obstante, esto no es suficiente para evaluar el cumplimiento de las regulaciones de privacidad y protección de datos. Esta tesis doctoral tiene como objetivo contribuir a la mejora de las técnicas de control de calidad del software (SQC) para evaluar los requisitos de privacidad y protección de datos en los sistemas de software, de modo que puedan integrarse en las actividades de evaluación de las organizaciones y las autoridades de supervisión. En particular, se centra en las técnicas para la evaluación (semi) automática del cumplimiento de las regulaciones de privacidad y protección de datos por parte de los sistemas de software, puesto que se ajustan adecuadamente al ecosistema digital actual. Es decir, las técnicas de SQC deben tener en cuenta que (i) hay un gran número de aplicaciones y servicios en el ecosistema digital, y (ii) los profesionales no son expertos en privacidad y tienen dificultades para comprender la normativa vigente en materia de protección de datos, por lo que la incorporación de conocimientos multidisciplinares en las técnicas SQC automáticas puede contribuir a hacer frente a este problema. Para lograr este objetivo, esta tesis se ha realizado en tres etapas principales. En primer lugar, hemos realizado un estudio sistemático de literatura para construir un mapa sobre el estado del arte de las técnicas de SQC para evaluar los requisitos de privacidad y protección de datos en los sistemas de software. El mapa muestra que las técnicas de SQC dirigidas a los artefactos de código son las que más atención reciben por parte de los investigadores y son además las más maduras. Sin embargo, una gran mayoría se centra en la evaluación de la privacidad como confidencialidad (por ejemplo, las fugas de datos), siendo insuficientes para evaluar el cumplimiento de la normativa sobre privacidad y protección de datos. Además, el ecosistema móvil se identifica como un ámbito en el que centrar los esfuerzos de investigación debido a su ubicuidad y al acceso a una gran cantidad de datos personales sensibles, que se comparten con diferentes proveedores de servicios de todo el mundo en un ecosistema complejo. En segundo lugar, guiados por los resultados anteriores, analizamos en detalle el proceso de evaluación del cumplimiento de las regulaciones de privacidad y protección de datos por parte de las aplicaciones móviles. Para ello, se instancia el marco metodológico para la evaluación de sistemas de software definido en la norma ISO/IEC/IEEE 29119 y se lo refina con artefactos pertenecientes al ámbito de la privacidad y la protección de datos. Además, se realiza un análisis en profundidad de las técnicas de análisis del comportamiento de las aplicaciones y del análisis de texto de las políticas de privacidad, determinando así los aspectos positivos (que pueden reutilizarse) y los negativos (que deben mejorarse) a lo largo del proceso de evaluación. En tercer lugar, se desarrollan las mejoras más prioritarias: i) una técnica de diseño de pruebas para la evaluación del cumplimiento, ii) un entorno de ejecución automatizado, flexible y extensible ―Plataforma CLIIP― y iii) una técnica de SQC totalmente automatizada para evaluar el cumplimiento de los requisitos de transferencias internacionales según RGPD, que incorpora conocimientos multidisciplinares para acortar la brecha entre los dominios legal y técnico. Por último, la técnica de SQC propuesta se valida mediante la realización de un estudio de prevalencia sobre el cumplimiento de las transferencias transfronterizas del RGPD de las aplicaciones populares de la UE de Google Play Store. Las contribuciones realizadas a lo largo de esta tesis proporcionan (i) una visión general de las técnicas de SQC para la evaluación de los aspectos de privacidad y protección de datos a lo largo del proceso de desarrollo de sistemas de software, y un análisis en profundidad de las técnicas de SQC dirigidas al ecosistema de aplicaciones móviles, ii) CLIIP, una plataforma para evaluar el cumplimiento de las regulaciones de privacidad y protección de datos en el ecosistema de aplicaciones móviles, iii) una técnica de SQC totalmente automatizada para evaluar el cumplimiento de los requisitos de transferencias internacionales del GDPR y iv) un estudio de prevalencia para comprender mejor las prácticas de datos y el cumplimiento de la regulación de privacidad y protección de datos en el ecosistema de aplicaciones móviles. De este modo, se cumple el objetivo planteado. Dado el carácter multidisciplinar de determinados estudios de esta tesis, investigadores nacionales e internacionales han colaborado en la elaboración de estas contribuciones. Estas colaboraciones se han realizado en el marco de proyectos de investigación nacionales e internacionales y de una estancia de investigación en una institución de prestigio. Además, estas contribuciones han sido validadas mediante publicaciones en revistas y congresos relevantes. ----------ABSTRACT---------- Software systems have become an essential component in many of today's products and services. The correct operation of software systems (applications and services) is crucial for the benefit of individuals, organisations, and society at large. However, as a result of multidisciplinary research, it was found that software systems need to ensure further requirements to address concerns regarding transparency, autonomy, anti-discrimination, and privacy, besides their correct operation. Of these concerns, privacy is singled out as particularly relevant because it can create the conditions for enabling others. In this respect, significant efforts from regulatory bodies have been addressing different privacy concerns. For example, in Europe, the General Data Protection Regulation (GDPR), which is mandatory since 25 May 2018, is one of the main results of this endeavour. Compliance with the GDPR is crucial for organizations because a privacy breach can entail significant financial penalties. This legal framework aims to ensure that all data processing operations, such as collection or cross-border transfers, are lawful, fair and transparent, and ultimately preserve the privacy of individuals. It, therefore, establishes a set of requirements that organizations, even those based outside the EU, should comply with when offering services within the EU. Organizations are devoting many efforts to developing their software systems aligned with privacy and data protection requirements, but it is unclear how well they are doing. SQC techniques are of utmost importance for different stakeholders, including organizations and supervisory authorities, to verify whether software systems meet privacy and data protection requirements through their entire lifecycle. On the one hand, organisations are devoting efforts to developing privacy-friendly software systems. Therefore, SQC techniques are necessary to check whether these software systems meet the stated privacy and data protection requirements. For supervisory authorities, SQC techniques are also essential, as they are responsible for enforcing data protection requirements in a digital environment composed of a vast number of digital applications and services. Although research efforts have recently been undertaken in this field, most of them have been extrapolated from the security domain and are mainly focused on data leakages assessment. They are still not enough due to the complexity of the problem to be addressed, which stems from the multidisciplinary, plurality, and context-dependence of privacy and data protection. This doctoral thesis aims to contribute to the improvement of software quality control (SQC) techniques for assessing privacy and data protection requirements in software systems to be integrated into the assessment activities of organizations and supervisory authorities. After organizing the scattered contributions on SQC techniques, it focuses specifically on techniques for (semi-) automated assessment of software systems' compliance with privacy and data protection regulations, as it fits well with today's digital ecosystem. That is, SQC techniques should consider that (i) there are a large number of applications and services in the digital ecosystem, and (ii) practitioners are not privacy experts and have difficulties in understanding prevailing data protection regulation, so incorporating multidisciplinary knowledge in automated SQC techniques can contribute to addressing this issue. To achieve this objective, this thesis has been performed in three main stages. First, we conducted a systematic mapping study to build a map on the state-of-the-art SQC techniques for assessing privacy and data protection requirements in software systems. The map shows that SQC techniques targeting code artefacts receive the most attention from researchers and are the most mature. Yet, a vast majority focus on assessing privacy as confidentiality (e.g., data leaks), being insufficient to assess compliance with privacy and data protection regulation. Furthermore, the mobile ecosystem is identified as a hotspot on which to focus research efforts due to its pervasiveness and access to a large amount of sensitive personal data, which is shared with different service providers worldwide in a complex ecosystem. Second, guided by previous findings, we discuss in detail the process for assessing compliance of mobile apps with privacy and data protection regulations. For this purpose, the methodological framework for assessing software systems defined in ISO/IEC/IEEE 29119 is instantiated and refined with artefacts pertaining to the privacy and data protection domain. In addition, in-depth analysis of the techniques of both app behaviour analysis and privacy policy text analysis is performed, thus identifying some gaps throughout the assessment process. Third, the most priority improvements are developed: i) a test design technique for compliance assessment, ii) an automated, flexible, and extensible execution environment ―the CLIIP Platform― and iii) a fully automated SQC technique for assessing compliance with GDPR cross-border personal data transfers requirements in the mobile app ecosystem, which embeds multidisciplinary knowledge to bridge the gap between the legal and technological domains. Finally, the proposed SQC technique is validated by conducting a prevalence study on the GDPR cross-border transfer compliance of popular EU apps from the Google Play Store. The contributions made throughout this thesis provide (i) a comprehensive overview of the SQC techniques for the assessment of privacy and data protection aspects throughout the development process of software systems, and an in-depth analysis of the SQC techniques targeting the mobile app ecosystem, ii) CLIIP―a platform for assessing compliance with privacy and data protection regulations in the mobile app ecosystem, iii) a fully automated SQC technique for assessing compliance with GDPR cross-border transfer requirements and iv) a prevalence study to better understand the data practices and the compliance with privacy and data protection regulation in the mobile app ecosystem. In this way, the stated objective is fulfilled. Given the multidisciplinary nature of some of the studies in this thesis, national and international researchers have collaborated in elaborating these contributions. These collaborations have been performed in the context of national and international research projects and a research stay in a prestigious institution. In addition, these contributions have been validated via publications in relevant journals and conferences.