引入歐洲在線數據隱私法將對組織如何處理和管理其用戶的個人數據產生重大影響。該法律於1月份通過，將於2018年全面頒佈。對於定期處理為歐洲公民提供服務的客戶或個人數據的組織，會出現與其在線Web應用程序和操作的技術影響相關的問題。
該法的主要指令授權個人控制其數據。這意味著，要求人們在線提供個人信息的實體必須從提交的那一刻起準確告知他們該數據會發生什麼。
法律最重要的方面是這四個方面：
- “更容易訪問您自己的數據：個人將獲得有關如何處理其數據的更多信息，並且這些信息應以清晰易懂的方式提供。”
- “數據可移植性的權利：在服務提供商之間傳輸您的個人數據會更容易。”
- “澄清'被遺忘權'：當您不再希望處理數據時，如果沒有合法理由保留數據，則數據將被刪除。”
- “知道您的數據被黑客攻擊的權利：例如，公司和組織必須儘快通知國家監管機構嚴重的數據洩露事件，以便用戶採取適當的措施。”
那麼如何實現符合指令的應用程序，該指令可以為用戶提供對個人數據的完全控制？以下是基於OWASP十大隱私準則的15條準則：
1.確定應用程序是否確實需要所有請求的個人數據
理想的隱私實施可以節省儘可能少的個人數據，例如出生日期，姓名，居住國等。這在所有情況下都是不可能的。一些實體需要更多信息。但是，在所有情況下，開發人員和管理人員應確切地確定哪些數據是絕對必要的。
2.加密所有個人數據並通知用戶
如果應用程序需要保存個人信息，則應使用適當且強大的加密算法（包括散列）對數據進行加密。在Ashley Madison數據洩露事件中，所有個人數據都是明文，這對用戶造成了巨大影響。應明確向用戶說明，他們所有的個人數據（包括電話號碼，居住國和地址）都將加密和散列，以避免任何形式的數據提取和數據洩露時的潛在風險。
3.考慮OAUTH的數據可移植性
用於單點登錄的協議（例如OAUTH）允許用戶通過簡單地提供另一個帳戶來創建帳戶，但是他們還確保不存儲除了來自其他服務的身份驗證ID之外的個人數據。
4.通過HTTPS實施安全通信
許多實體不為其網站使用HTTPS，因為他們認為沒有必要。例如，如果應用程序不需要任何形式的身份驗證，則可能似乎不需要HTTPS。但很容易忽略一些事情。例如，某些應用程序通過“聯繫我們”表單收集個人信息。如果此信息以明文形式發送，則將通過Internet公開。此外，您應確保已正確部署SSL證書，並且不會暴露於與SSL協議相關的漏洞。
5.通過“聯繫我們”表單通知用戶並加密個人數據
應用程序不僅通過身份驗證或訂閱收集信息，還通過聯繫表單收集信息。大部分信息都是個人信息，包括電子郵件地址，電話號碼和居住國家/地區。必須告知用戶如何存儲這些數據以及存儲多長時間。強烈建議使用強加密來存儲此信息。
6.確保會話和cookie過期並在註銷後銷燬
用戶必須對應用程序使用cookie具有適當的可見性。必須告知他們應用程序正在使用cookie，應用程序應該為用戶提供接受或拒絕cookie的機會，並且必須在不活動或註銷後正確銷燬cookie。
7.不要跟蹤商業智能的用戶活動
網絡上的許多電子商務應用程序跟蹤用戶通過他們的搜索或購買的產品來確定他們的口味。通常，像亞馬遜和Netflix這樣的公司會將這類信息用於他們的推薦系統。由於用戶的個人品味和選擇正在被監控和存儲以用於商業目的，因此用戶應該能夠接受或拒絕此選項。如果用戶決定接受此類跟蹤，則應告知他們如何在系統中保存數據以及保存多長時間。當然，任何與個人信息相關的內容都應加密。
8.告訴用戶有關保存位置或IP地址的日誌
許多應用程序使用IP地址或位置作為參數來控制身份驗證和授權，並且如果有人試圖繞過身份驗證控件，他們會記錄此信息。應該告訴用戶這個，以及日誌將在系統中保存多長時間。切勿在日誌中包含更多敏感信息，如密碼。
9.將日誌存儲在安全的地方，最好是加密的
將包含用戶信息的任何日誌保存在安全的位置，並告知用戶這些日誌會發生什麼：它們的存儲方式以及保留時間。日誌本身應該加密。
10.安全問題不應該打開用戶的個人數據
在許多應用程序中，安全問題用作確認用戶身份的表單。這些問題不應包括個人成分，如母親的婚前姓名，甚至用戶喜歡的顏色。如果可能，請使用雙因素身份驗證替換這些問題。如果無法做到這一點，請讓用戶創建自己的問題，並警告他們不要創建包含個人數據的問題。提供的任何信息都應加密。
11.創建明確的條款和條件，並確保用戶閱讀它們
不要隱瞞你的條款和條件。根據新的歐盟隱私法，條款和條件應位於任何Web應用程序的登錄頁面上，並且在用戶導航應用程序時始終高度可見。強制執行機制是必要的，以便用戶在被允許訪問應用程序之前必須同意條款和條件，尤其是在條款已更改時。條款和條件也應該使用易於理解的語言。
12.通知用戶與第三方共享任何數據
如果您的組織與第三方共享個人數據，無論他們是外部插件，附屬機構還是政府組織，該事實都應包含在條款和條件中。
13.為數據洩露創建明確的策略
歐盟法律最重要的一個方面是，如果發生數據洩露，用戶有權獲得通知。組織必須實施明確的策略來建立角色和遵循的步驟，以便例如及時向用戶通知任何違規行為。
14.刪除取消其服務的用戶的數據
在用戶取消服務或刪除帳戶後，許多Web應用程序都不清楚個人數據會發生什麼。有權被遺忘，公司應尊重用戶刪除其所有帳戶信息和相關數據的權利。用戶必須可以看到他們可以留下服務並且他們的所有數據都將被刪除。將已刪除的帳戶視為不活躍的公司可能違反法律。
15.修補Web漏洞
正如OWASP Top 10列表中所提到的，主要數據隱私風險之一涉及Web應用程序漏洞：“漏洞是任何保護或操作敏感用戶數據的系統中的關鍵問題。未能適當地設計和實現應用程序，檢測到問題或立即應用修補程序（補丁）可能會導致隱私洩露。“確保您的組織有一個計劃來評估網絡風險並有效地進行滲透測試和補丁。
分享以下適用於隱私法的應用的最佳做法。
本網站的內容反映了作者的觀點，不一定是Micro Focus，其子公司或其他附屬公司的觀點。本網站包含的信息僅供參考，不應被視為對任何事項的法律建議。 Micro Focus產品和服務的唯一保修條款在此類產品和服務附帶的明確保修聲明中列出。本文中的任何內容均不應視為構成額外保證。 Micro Focus不對此處包含的技術或編輯錯誤或遺漏承擔責任。
原文：https://techbeacon.com/security/15-steps-developing-gdpr-compliant-apps
本文：http://pub.intelligentx.net/15-steps-developing-gdpr-compliant-apps
討論：請參加知識星球或者小紅圈【首席架構師圈】