ГОСТ Р55036—2012/ISO/TS 25237:2008
При всех формах восстановления идентичности злоумышлении»: следует в основном одной и той же проце
дуре. Используя свои наблюдения и содержание обезличенной базы данных, он составляет для каждого иденти
фикатора лица в базе данных наблюдений (Ном-ИД) список обезличенных идентификаторов (Обезл-ИД). кото
рые могут ему соответствовать.
Связь между данными наблюдений и обезличенными данными может быть установлена большим числом
способов, выбор которых зависит от конкретной ситуации. Однако важно добавить к общей модели некоторые
подходы классификации, чтобы лучше понять механизмы связывания.
Обмличиши Омаданных
На рисунке В.4 показано, что связь между Ном-ИД и Обезл-ИД гложет быть установлена непосредственно,
используя характеристики, хранящиеся в соответствующих базах данных (связывание (1)). или с помощью проме
жуточного шага (связывание (2)). В первом случав данные, хранящиеся в обезличенной базе данных, непосред
ственно отображаются на данные наблюдений. Это означает, что злоумышленник с помощью связывания баз
данных может прочитать некоторые характеристики записей обезличенной базы данных. Используя эти характе
ристики, злоумышленник может определить, соответствует пи обезличенная запись идентифицирующей записи
базы данных наблюдений.
Во втором случае для получения возможности связывания двух источников информации необходимо сде
лать промежуточный шаг. Записи наблюдений не имеют прямой связи с записями обезличенной базы данных, но
можно предположить наличие такой связи, используя характеристики, хранящиеся в обезличенных записях.
Согласно настоящему приложению эта ситуация эквивалентна предположению связи обезличенных записей с
записями наблюдений, используя характеристики, хранящиеся в записях наблюдений.
Применяемые алгоритмы связывания и предположений о связях обычно специфичны для конкретных
данных и прикладных программ. Однако некоторые алгоритмы рассчитаны на общие типы данных. На высшем
уровне абстракции можно оперировать важным понятием «уверенности» в сконструированной связи.
Как алгоритмы связывания, так и алгоритмы предположений о связях не обязательно опираются на досто
верные факты. Связь, сконструированная злоумышленником, не обязательно правильная. В зависимости от
предположений, сделанных злоумышленником, а также полноты и достоверности его наблюдений, сложности и
неопределенности обезличенных данных, некоторые связи могут быть правдоподобнее других. Поэтому зло
умышленник должен присвоить связи между идентификаторами некоторую вероятность (конечно, точная связь
получит значение вероятности, равное 1). Например, в обезличенной базе данных содержатся суммы зарплат, и
злоумышленник не может узнать из нее, чьи это зарплаты. Однако он может сделать предположения на основе
таких характеристик, как выполняемая работа, площадь дома, модель автомобиля. Злоумышленник никогда не
может быть уверен в правильности своей догадки, его предположения верны только с определенной
вероятностью.
В.З Полное или частичное восстановление идентичности
Если в конце процедуры связывания злоумышленник может сопоставить единственный идентификатор
записи наблюдений с идентификатором обезличенной записи, то это означает вероятное восстановление иден
тичности соответствующей обезличенной записи. Правдоподобность этого восстановления зависит от вероят
ностных характеристик используемых правил связывания и предположений, а также от третьего фактора —
отношений между субьектами, чьи данные хранятся в базе данных наблюдений и в обезличенной базе данных.
На рисунке В.5 показаны различные возможные зависимости между базой данных наблюдений (обозначенной
буквой «Н») и обезличенной базой данных (обозначенной буквой «О»). Крестики обозначают субъекты данных, а
не записи базы данных (элемент множества, обозначенный крестиком, означает, что данные этого субъекта
хранятся в базе данных).
Пока Н является подмножеством О или наоборот, восстановление идентичности является истинным, если
выявлена уникальная связь между Ном-ИД и Обезл-ИД. Если такого включения нет. то обнаруженная уникальная
связь не гарантирует, что существует истинное соответствие между наблюдаемым и обезличенным идентифика
тором.
40