[論文レビュー] Data Capsule: A New Paradigm for Automatic Compliance with Data Privacy Regulations

Lun Wang, Joseph P. Near+5 more|arXiv (Cornell University)|Aug 30, 2019

Privacy-Preserving Technologies in Data参考文献 20被引用数 8

ひとこと要約

本論文は、GDPR や CCPA などのデータプライバシー規制への自動準拠を実現する新しいパラダイム、Data Capsule を提案する。この手法では、データ主体のデータのライフサイクルにわたり、形式的なプライバシーポリシー（PrivPolicy）をデータに束縛することで、規制準拠を実現する。この解決策は、抽象解釈を用いた静的解析により残余ポリシーを導出し、既存のデータインfra構造を変更せずにポリシーの強制を可能にする。実装は、実世界での展開を想定したPrivGuardリファレンスマネージャとして実現されている。

ABSTRACT

The increasing pace of data collection has led to increasing awareness of privacy risks, resulting in new data privacy regulations like General data Protection Regulation (GDPR). Such regulations are an important step, but automatic compliance checking is challenging. In this work, we present a new paradigm, Data Capsule, for automatic compliance checking of data privacy regulations in heterogeneous data processing infrastructures. Our key insight is to pair up a data subject's data with a policy governing how the data is processed. Specified in our formal policy language: PrivPolicy, the policy is created and provided by the data subject alongside the data, and is associated with the data throughout the life-cycle of data processing (e.g., data transformation by data processing systems, data aggregation of multiple data subjects' data). We introduce a solution for static enforcement of privacy policies based on the concept of residual policies, and present a novel algorithm based on abstract interpretation for deriving residual policies in PrivPolicy. Our solution ensures compliance automatically, and is designed for deployment alongside existing infrastructure. We also design and develop PrivGuard, a reference data capsule manager that implements all the functionalities of Data Capsule paradigm.

研究の動機と目的

• GDPR や CCPA などの複雑な自然言語によるデータプライバシー規制への自動準拠の課題に対処すること。
• 既存のシステムがデータ削除をサポートしない、データラインレージングの追跡ができない、異種のデータ処理プラットフォーム間でポリシーを強制できないという制限を克服すること。
• 既存インfraストラクチャと統合可能で、ポリシー・バイ・データの束縛により準拠を保証する、軽量で展開可能なソリューションを設計すること。
• 透明性、同意、処理制御、データポータビリティ、再識別化保護といった一般的なプライバシー原則を、汎用ポリシー言語に形式化すること。
• データ処理プログラムが関連するプライバシーポリシーに準拠しているかどうかを静的検証することで、実行前に違反を防止すること。

提案手法

• データ主体の個人データを、その処理を支配するポリシー（PrivPolicy）に束縛する Data Capsule パラダイムを導入し、データがすべての変換やコピーを経てもそのポリシーが付随するようにする。
• 抽象解釈による静的解析に適した表現力を持つ、意味論的に整合性のある形式的ポリシー言語である PrivPolicy を定義し、GDPR や CCPA、HIPAA、FERPA の要件を符号化可能であるようにする。
• データ処理後の残余ポリシー（処理後に導かれるポリシー）を自動的に導出するための、抽象解釈に基づく新アルゴリズムを開発し、各処理ステップでの準拠を保証する。
• データカプセルグラフを管理し、ポリシーを強制し、データ処理パイプライン全体にメタデータを伝搬する、リファレンスマネージャである PrivGuard を設計・実装する。
• 既存のデータ処理システムへの最小限の変更で後方互換性を確保し、レガシインfraストラクチャと共存可能な展開を可能にする。
• PrivPolicy の形式的意味論を用いて、データ処理プログラムが関連ポリシーに準拠しているかどうかを静的解析で検証可能にする。

実験結果

リサーチクエスチョン

• RQ1 異種のデータ処理システムにまたがる自動的・静的準拠を実現するためには、どのようにしてデータプライバシー規制を形式化できるか？
• RQ2 データが異なるプラットフォーム間でコピーされたり変換されたりしても、プライバシーポリシーが強制可能であることを保証するメカニズムは何か？
• RQ3 主要なプライバシー規制を十分に表現できるが、実世界での展開に耐えうるほど軽量なポリシー言語を設計できるか？
• RQ4 静的解析を用いて、実行時監視なしに実行時に準拠を保証するための残余ポリシーを自動的に導出できるか？
• RQ5 Data Capsule パラダイムは、最小限の変更で既存のデータ処理スタックに統合可能か、その範囲はどの程度か？

主な発見

• Data Capsule パラダイムは、プライバシーポリシーをデータに束縛し、すべてのデータ処理操作にわたりそのポリシーを伝搬させることに成功し、エンドツーエンドの準拠を実現した。
• PrivPolicy は、GDPR や CCPA、HIPAA、FERPA の形式的符号化をサポートしており、主要なプライバシー規制に一般化可能であることを示した。
• 抽象解釈に基づく残余ポリシー導出アルゴリズムにより、静的解析が整合的に行えるようになり、データ処理実行前に準拠性の検証が可能となった。
• リファレンス実装である PrivGuard は、実世界の環境での実現可能性と展開可能性を示しており、モバイルアプリによるHIPAA準拠の月経健康データ収集の事例研究でも有効であることを示した。
• システムスイゾー内の手動でのデータ発見や削除の必要性を排除することで、データ漏洩や準拠不履行のリスクを低減した。
• 従来、そのような機能を備えていなかったシステムでも、データ主体の権利（データポータビリティ、消去権）の自動的強制が可能になった。