《Electronics》：Design and Evaluation of a Focus Area Maturity Model for Privacy-by-Design
编辑推荐：
隐私设计（Privacy-by-design, PbD）在信息系统和个人数据的整个生命周期中考虑隐私。尽管存在多种多样的PbD技术，但尚未有一个在系统设计和组织发展的完整背景下考虑隐私的框架。本研究旨在设计、验证、实施并评估一个PbD焦点领域成熟度模型，作为应
隐私设计（Privacy-by-design, PbD）在信息系统和个人数据的整个生命周期中考虑隐私。尽管存在多种多样的PbD技术，但尚未有一个在系统设计和组织发展的完整背景下考虑隐私的框架。本研究旨在设计、验证、实施并评估一个PbD焦点领域成熟度模型，作为应用PbD的指导性工件（PbD-MM）。该PbD-MM采用设计科学方法创建，利用一组先前编码的PbD活动来构建成熟度矩阵中的能力。PbD-MM描述了14个焦点领域和60项能力，其依赖关系形成了10个成熟度等级。PbD-MM通过一个由PbD实践者组成的焦点小组进行了验证，并实现为一个提供自我评估和报告功能的Web应用程序。通过在线分发共收集了46份完整评估。研究人员发现，在PbD实践中存在广泛的能力基础，其中治理与合规方面发展更为深入，并且得分最高的焦点领域与更高的整体成熟度之间存在正相关。PbD-MM提供了对PbD活动的结构化梳理以及一种评估工具，以支持组织PbD能力的发展。
隐私设计（Privacy-by-design, PbD）要求将隐私嵌入信息系统和个人数据整个生命周期的各个阶段。近年来虽然出现了大量PbD技术与指南，但现有工作多聚焦于具体设计手段，缺少一个在系统设计与组织发展完整背景下统一部署隐私能力的框架。已有实践常将隐私影响评估（Privacy Impact Assessment, PIA）视为一次性合规任务，导致理论应用与组织流程脱节。为改变这一状况，本研究采用设计科学范式，开发了一个面向PbD的焦点领域成熟度模型（Focus Area Maturity Model, FAMM），即PbD-MM，用以结构化描述PbD能力及其发展路径，并作为组织评估与改进的指导工。该研究发表于《Electronics》。
研究人员以两项多声文献综述为基础，从30个成熟度模型和68篇出版物中提取847项隐私管理及PbD活动，经筛选后保留371项，通过开放编码归纳为60项能力，分布于14个焦点领域，并由能力间依赖关系形成10个成熟度等级。随后，研究人员通过焦点小组对该模型进行验证，来自荷兰政府组织的5名实践者提出了3项改进建议，均被纳入最终模型。为便于实际应用，研究人员将PbD-MM实现为在线评估工具，提供自我评估和报告生成功能；经试点测试后，通过在线分发收集了46份有效评估和16份评估问卷，用于分析模型在真实组织中的表现。研究样本主要来自荷兰及公共部门组织，并通过便利抽样获得。
**4.1 隐私设计成熟度模型（Privacy-by-Design Maturity Model）**
**4.1.1 因子选择与能力表述**
研究人员基于既有编码活动，通过迭代式开放编码对PbD域进行归类，最终纳入371项活动，并据此凝练能力。例如，FA1需求的第一项能力由四项活动综合而成，涵盖设计前基于隐私原则和PIA制定需求、在需求获取中考虑业务与法律要求，以及剔除侵犯隐私的需求。
**4.1.2 成熟度矩阵**
PbD-MM最终包含14个焦点领域和60项能力，并因能力间依赖关系形成10个成熟度等级。低级别能力分布较均匀，高级别能力数量较少，反映出文献对高级PbD实践的描述较少。各焦点领域描述从基础到高级的发展路径，如FA2架构强调从建立隐私架构视角到建模数据流、验证模型及应用隐私模式与增强技术。
**4.1.3 依赖关系**
模型共有45条焦点领域内依赖和50条焦点领域间依赖。有向图分析显示，PIA流程和风险管理处于核心位置，分别被多个焦点领域依赖；而透明度和意识两个焦点领域出度为零，说明没有其他领域直接依赖它们。12B（任命首席隐私官并正式化角色与责任）具有最高出度，是组织内正式化PbD职能的关键节点。
**4.1.4 设计决策**
研究将PbD-MM范围限定于PbD而非整体隐私管理，并排除了政策与资产清单焦点领域，因为前者与其他领域冗余，后者缺乏发展路径。模型区分了PIA流程与PIA报告，允许二者独立演进。同时，为避免法律框架差异，移除了具体GDPR要求；PIA报告内容也被排除，仅关注其使用、审核与更新方式。
**4.1.5 模型验证**
焦点小组由5名来自不同荷兰政府组织的实践者组成，对模型进行了多角度审查。提出的改进包括：在意识领域增加第一级能力以强调基本的PbD意识；将技术领域第一级能力中的静态加密改为基于目的的数据访问；并从处理原则中移除具体GDPR表述。这些修改最终被纳入模型。
**4.2 在线评估工具**
研究人员开发了Web应用，提供知情同意、分级自评问卷、跳过逻辑和PDF报告生成。评估工具经3名实践者试点，根据反馈增加了部分完成能力在成熟度矩阵中的条纹显示，使结果更能反映组织已有努力。
**4.3 评估**
**4.3.1 成熟度评估**
对46份有效评估的热图分析显示，组织普遍具备较广泛的基础能力，其中主体权利、处理原则和角色这些偏治理与合规的焦点领域发展最成熟；而监测、架构和开发这些偏技术领域得分最低。平均成熟度为1.80，最高为5.93。Cronbach's alpha在第1至第3级分别为0.773、0.875和0.918，表明内部一致性良好。
**4.3.2 评估计分**
由于整体成熟度由最低焦点领域决定，多数组织总体成熟度为0。敏感性分析表明，若将“部分符合”和“不知道”答案赋予一定分值，并适当降低通过阈值，能够更真实地反映组织实际达到的成熟度水平，因此建议未来版本采用更宽松的计分策略。
**4.3.3 评估问卷**
16份问卷显示，模型在结构完整性（3.54）和操作可行性（3.47）方面评分较高，而易用性（2.57）较低。参与者建议进一步拆分能力、提供分角色或分模块的自定义评估，并增加示例以降低评估难度。
**讨论总结**
研究人员提出四点陈述：第一，PbD已有大量具体方法和工具，但缺乏整体结构，PbD-MM填补了该空白；第二，PbD-MM能够用于评估组织现有能力并制定发展路径，但易用性和计分方式仍需改进；第三，实践数据表明组织多偏好“隐私政策”而非“隐私架构”路径，导致治理与合规能力领先于技术能力；第四，有效的PbD需要以基础隐私管理为前提，组织应先建立基本的隐私治理框架，再推进PbD的专项能力发展。研究局限在于样本数量有限、以荷兰公共部门为主，且单次评估无法验证模型的发展路径是否具有长期预测力，未来需要通过案例研究和纵向随访进一步验证。
**结论**
在本研究中，来自两项多声文献综述的PbD活动被用于在成熟度模型中结构化PbD功能域。借助Web应用、在线自我评估和报告，PbD-MM支持组织考察并改进其PbD实践。该模型获得了良好反馈，且在一个焦点领域取得较高能力与其他焦点领域的更好表现相关。从46项成熟度评估中，研究人员发现组织采用了不同的PbD实现方式，形成了多样的成熟度状况。结果显示较低层级能力的广泛发展，且偏向治理与合规能力。尽管这一现象与同时采用隐私政策与隐私架构技术的最佳实践存在差异，但与前人发现一致。PbD-MM在结构完整性和操作可行性方面获得积极评价，但易用性仍需改进。总体而言，PbD-MM为评估者提供了可识别的实践，并支持成熟度评估与发展路径制定。该模型通过引入组织发展视角并将PbD实践逻辑地整合为单一功能域，填补了PbD研究中的空白；它为现有PbD技术文献提供了情境化结构，其评估工具亦能帮助组织识别当前能力与改进方向，从而有效设计、开发和运营对隐私友好的信息系统。
