ГОСТ Р 70289—2022
Приложение А
(справочное)
Пример использования настоящего стандарта
А.1 Описание
А.1.1 Сценарий
Гипотетический поставщик облачной службы использует элементы структуры, описанные в разделе 6, для
анализа требований к своим политикам использования данных и для формирования спецификаций конфиден
циальности данных для потребителей облачной службы и пользователей облачных служб. Поставщик облачной
службы описывает свои политики использования данных следующими вопросами:
- требование согласия пользователя: требуется ли явное согласие пользователя (дополнительно) или ис
пользование данных основано на законных правах поставщика облачной службы?
- требование уведомления: требуется ли явное (заметное) уведомление об использовании данных или до
статочно того, что указано вспецификации конфиденциальности?
- дополнительные средства контроля: требуются ли дополнительные средства контроля клиентов, которые
позволяют разрешать/запрещать ему использование определенных данных?
ВтаблицеА.1 эти вопросы обобщены ипредставлены коды, используемыедля обозначения политик исполь
зования данных в последующем анализе.
Таблица А.1 — Коды для политик использования данных
Политика вотношении
Коды
Уведомление
Р — заметное/явное
D — видимое
Согласие
N— согласие не требуется
О — требуется явное согласие
Контроль клиентов
А— необходим
В — не требуется
X— не допускается или неприменимо
Например, код Р-О-В указывает на то, что требуется явное уведомление, для использования данных требу
ется явное согласие, а контроль клиентов не требуется.
Примечание —Следующее определение политики спецификаций использования производныхданных
является чисто гипотетическим. Какой-либо связи с какими-либо существующими регламентами нет. Вреальности
для определения политик следует руководствоваться соответствующими нормативными и законодательными
документами.
А.1.2 Мотивы
Пример использования демонстрирует:
- как использовать структуру (см. [1])для определения сложных организационных политикс использованием
табличного формата в качестве основы для анализа, и как получить спецификацию использования данных;
- влияние квалификаторов идентификации данных на сложность и применимость политик, связанных с кон
фиденциальными данными, такими какданные, позволяющие установить личность или организацию:
- политики для идентифицированных данных, как правило, более сложны, чем политики для обезличенных
данных. Политики для анонимизированных или агрегированных данных наиболее просты;
- интенсивность использования данных уменьшается с увеличением степени обезличивания. В то время,
когда идентифицируемые данные могут использоваться для самых разных целей, использование анонимизиро
ванных или агрегированных данных довольно ограничено.
Не все комбинации элементов структуры, таких например, как действия и области действия, значимы. То,
какие комбинации применяются, зависит от приложения. Выбор набора значимых комбинаций может значительно
упростить процесс определения политики.
А.2 Спецификации анализа и использования производных данных
А.2.1 Общие положения
А.2.1.1 Элементы структуры
Для выражения своей политики поставщик облачной службы использует все дерево категорий данных,
описанное в6.2.2, но только часть комбинаций действий и областей.
34