[論文レビュー] Privacy for the Protected (Only)

Michael Kearns, Aaron Roth+2 more|arXiv (Cornell University)|May 31, 2015

Privacy-Preserving Technologies in Data参考文献 4被引用数 6

ひとこと要約

本稿では、特定のサブポピュレーション（例：テロリストでない者、感染していない者）のプライバシーのみを保護しつつ、社会的ネットワークにおけるハイリスク個人（例：テロリスト、感染者）の標的検索を可能にする、画期的なプライバシー・モデルを紹介する。このモデルは、ノイズを含むグラフ探索手法を用いてターゲットを特定する、微分プライバシーに基づくアルゴリズム（Private Search, PTarget）を提案し、適切に調整されたノイズの注入によって保護対象のプライバシーが保証される。この手法には、保護的微分プライバシーを用いた形式的なプライバシー保証が含まれる。

ABSTRACT

Motivated by tensions between data privacy for individual citizens, and societal priorities such as counterterrorism and the containment of infectious disease, we introduce a computational model that distinguishes between parties for whom privacy is explicitly protected, and those for whom it is not (the targeted subpopulation). The goal is the development of algorithms that can effectively identify and take action upon members of the targeted subpopulation in a way that minimally compromises the privacy of the protected, while simultaneously limiting the expense of distinguishing members of the two groups via costly mechanisms such as surveillance, background checks, or medical testing. Within this framework, we provide provably privacy-preserving algorithms for targeted search in social networks. These algorithms are natural variants of common graph search methods, and ensure privacy for the protected by the careful injection of noise in the prioritization of potential targets. We validate the utility of our algorithms with extensive computational experiments on two large-scale social network datasets.

研究の動機と目的

• 社会的ニーズ（例：反テロ、感染症対策）と個人のプライバシー権の間の緊張を解消すること。
• 保護対象の個人のプライバシーを損なわずに、社会的ネットワークにおけるハイリスク個人を同定するアルゴリズムを開発すること。
• 監視、検査などの高コストな同定メカニズムを最小限に抑えつつ、保護対象の個人に対する強いプライバシー保証を維持すること。
• すべての個人に同じ保護を適用するのではなく、特定のサブポピュレーションにのみプライバシー保護が適用されるモデルを形式化すること。
• ノイズを注入したグラフ走査手法を用いて、標的検索のための形式的かつ証明可能なプライバシー保証を持つアルゴリズムを提供すること。

提案手法

• 保護的微分プライバシーと呼ばれる新しいプライバシー・モデルを導入し、プライバシー保証が特定の保護対象サブポピュレーションにのみ適用されることを保証する。
• 2つの主要なプリミティブを提案する：ターゲットノードの連結成分を特定するためのSFS（Search for a Component）、およびターゲットサブポピュレーション内での新しいシードノードを同定するためのSearchCom。
• 検索フェーズにおけるε/2-微分プライバシーを保証するために、ラプラスノイズを用いたReport Noisy Maxメカニズムを適用する。
• 後処理とノイズ注入（ラプラス分布を用いて）を、閾値を超える保護対象ノードの数に適用し、ε/2-微分プライバシーを保証する。
• SFSとSearchComを繰り返し適用する反復的アルゴリズム（PTarget）として統合し、既知の成分を拡張し、新しいシードを発見するフェーズを交互に実行する。
• 合成定理を用いて、全アルゴリズムが(k−1)ε-保護的微分プライバシーおよび(2√(2(k−1)ln(1/δ))ε, δ)-保護的微分プライバシーを満たすことを証明する。

実験結果

リサーチクエスチョン

• RQ1 社会的ネットワークにおける標的検索アルゴリズムを設計できるか。その際、非ターゲット個体のプライバシーは保護されつつ、ハイリスク個体が同定可能であるか。
• RQ2 すべての個人に同じ保護を適用しない状況において、保護対象サブポピュレーションのプライバシーを形式的に保証する方法は何か。
• RQ3 標的ネットワーク分析において、プライバシー、有用性、コスト（例：必要な調査数）の間のトレードオフは何か。
• RQ4 標準的なグラフ探索アルゴリズムに僅かな修正を加えるだけで、強力なプライバシー保証を達成できるか。
• RQ5 ノードの優先順位付けにノイズを用いることで、ターゲット発見の正確性と完全性にどのような影響が生じるか。

主な発見

• 提案されたPTargetアルゴリズムは、(k−1)ε-保護的微分プライバシーを達成しており、kは同一定で識別しようとしている互いに素な成分の最大数を表す。
• ターゲットサブポピュレーションが積極的に探索されている状況においても、保護対象の個人のプライバシーが保たれることを保証する。
• DBLPと別の2つの大規模な社会的ネットワークを用いた計算実験により、本手法の有用性が検証され、最小限のプライバシー漏洩で効果的なターゲット発見が可能であることが示された。
• ノイズを用いたノードの優先順位付け（Report Noisy Maxとラプラスノイズを用いて）により、性能の著しい低下を伴わず、強力なプライバシー保証が達成された。
• SFSとSearchComフェーズの組み合わせにより、ターゲット個体の複数の連結成分を反復的に発見できる。
• 理論的分析により、SFSおよびSearchComの両方が微分プライバシーに従い、保護的微分プライバシー枠組み下でその合成もプライバシーを保持することが確認された。