[論文レビュー] On the Semantics of Purpose Requirements in Privacy Policies

Michael Carl Tschantz, Anupam Datta+1 more|arXiv (Cornell University)|Feb 21, 2011

Access Control and Trust参考文献 35被引用数 6

ひとこと要約

本稿は、修正されたマルコフ決定過程（MDP）に基づく計画モデルを用いて、プライバシーポリシーにおける目的要件の形式的意味論を提案する。これにより、行動が特定の目的のために行われているかどうかの自動監査が可能になる。主な貢献は、『のみ目的のために』（制限的）と『目的のためにではない』（禁止的）という2種類の目的制約を区別する形式的枠組みを提供することであり、これにより、既存のポリシー監査手法の正確な自動適用と比較が可能になる。

ABSTRACT

Privacy policies often place requirements on the purposes for which a governed entity may use personal information. For example, regulations, such as HIPAA, require that hospital employees use medical information for only certain purposes, such as treatment. Thus, using formal or automated methods for enforcing privacy policies requires a semantics of purpose requirements to determine whether an action is for a purpose or not. We provide such a semantics using a formalism based on planning. We model planning using a modified version of Markov Decision Processes, which exclude redundant actions for a formal definition of redundant. We use the model to formalize when a sequence of actions is only for or not for a purpose. This semantics enables us to provide an algorithm for automating auditing, and to describe formally and compare rigorously previous enforcement methods.

研究の動機と目的

• プライバシーポリシーにおいて行動が『目的のために』行われているかどうかを判断するための形式的意味論の欠如が、自動監査を困難にしているという問題に対処すること。
• 目的を計画の成果物としてモデル化し、行動が特定の目標を達成するために選ばれるようにすることで、コンプライアンスに関する形式的推論を可能にすること。
• 2種類の目的要件、すなわち『のみ目的のために』（制限的）と『目的のためにではない』（禁止的）を区別すること。それぞれ異なる監査論理を要する。
• 形式的意味論に基づく統一的枠組みを提供することで、既存のポリシーエンフォースメント手法の比較と評価の基盤を築くこと。
• 従業員のインcentiveを許可された目的と一致させ、裏目的の検出可能性を高めることで、ポリシー違反のリスクを低減する運用ポリシーの設計を支援すること。

提案手法

• 不確実性下での目標達成を最大化するように行動を選択する計画を表現するため、修正されたマルコフ決定過程（MDP）モデルを用いる。
• マッキーの因果関係フレームワークにインspiredされた反事後的推論に基づき、目的を達成するために不可欠な行動（非冗長行動）の概念を導入する。
• 行動が目的を達成するために非冗長であり、かつ目的がその行動の動機付けに非冗長である場合に、行動の系列が『目的のために』であると定義する。
• この意味論を用いて、プライバシーポリシーにおける制限的（'only-for'）および禁止的（'not-for'）目的要件を形式的に定式化する。
• 観察された行動が、許可されていない目的のために行われる可能性があるかどうかをチェックすることで、自動監査のためのアルゴリズムを開発する。
• ブレットマンの意思決定と計画理論を用いて、意味論を目的と意思の認知的・哲学的基盤に根拠づける。

実験結果

リサーチクエスチョン

• RQ1 プライバシーポリシー監査の文脈において、行動の系列が『目的のために』行われていると正式に定義する方法は何か？
• RQ2 形式的意味論の観点から、『のみ目的のために』（制限的）と『目的のためにではない』（禁止的）という目的要件の違いは何か？
• RQ3 非冗長行動を正式に特定する方法は何か？ これは、特定の目的を達成するために不可欠な行動であるかどうかを判断するためである。
• RQ4 自動監査が可能となるような、プライバシーポリシーコンプライアンスのための形式的意味論を構築できるか？
• RQ5 計画意味論に基づく統一的枠組みにおいて、既存の監査手法はどのように比較されるか？

主な発見

• 本稿は、目的が達成されていなくても、行動が『目的のために』と見なせることが示された。これは、意思と目的に関する哲学的見解と整合する。
• 形式的意味論により、行動の系列が許可されていない目的のために行われる可能性があるかどうかを自動的に監査できる。これにより、潜在的な違反の検出が可能になる。
• この枠組みは、既存の監査手法が行動に目的を付与するための形式的根拠を欠いており、代わりに直感的判断やヒューリスティクスに依存していることを明らかにした。
• モデルは、裏目的の否定的主張が妥当であるため、目的に基づくコンプライアンスチェックが本質的に複雑であることを示した。これにより、責任分離などのポリシーの正当性が裏付けられる。
• 意味論は、過去の監査手法の比較と評価のための形式的基盤を提供し、それらの強みと限界を明確にした。
• 本手法は、従業員のインセンティブを許可された目的と一致させることで、違反を低減する運用ポリシーの設計を支援する。