[論文レビュー] Privacy-Preserving Data Analysis for the Federal Statistical Agencies

John M. Abowd, Lorenzo Alvisi+4 more|arXiv (Cornell University)|Jan 3, 2017

Privacy-Preserving Technologies in Data参考文献 4被引用数 11

ひとこと要約

この論文は、米国連邦統計機関におけるプライバシー保護型データ分析のきめ細やかなフレームワークを提示し、情報回復の根本的法則（正確な集計統計が個人のプライバシーを損なう可能性があること）に対処している。微分プライバシーのアルゴリズムを提案し、適切に調整されたノイズを注入することで、統計的有用性を保ちながらも数学的に個人のプライバシーを保証する。これにより、再識別のおそれなく研究や政策に役立てるための安全なデータ共有が可能になる。

ABSTRACT

Government statistical agencies collect enormously valuable data on the nation's population and business activities. Wide access to these data enables evidence-based policy making, supports new research that improves society, facilitates training for students in data science, and provides resources for the public to better understand and participate in their society. These data also affect the private sector. For example, the Employment Situation in the United States, published by the Bureau of Labor Statistics, moves markets. Nonetheless, government agencies are under increasing pressure to limit access to data because of a growing understanding of the threats to data privacy and confidentiality. "De-identification" - stripping obvious identifiers like names, addresses, and identification numbers - has been found inadequate in the face of modern computational and informational resources. Unfortunately, the problem extends even to the release of aggregate data statistics. This counter-intuitive phenomenon has come to be known as the Fundamental Law of Information Recovery. It says that overly accurate estimates of too many statistics can completely destroy privacy. One may think of this as death by a thousand cuts. Every statistic computed from a data set leaks a small amount of information about each member of the data set - a tiny cut. This is true even if the exact value of the statistic is distorted a bit in order to preserve privacy. But while each statistical release is an almost harmless little cut in terms of privacy risk for any individual, the cumulative effect can be to completely compromise the privacy of some individuals.

研究の動機と目的

• 脱識別化手法が採用されていても、連邦統計データ公開におけるデータプライバシー侵害の脅威が増大しているという事態に対処すること。
• 正確な集計統計が依然として個人情報の漏洩を引き起こすという直感に反する事実、いわゆる「情報回復の根本的法則」に直面すること。
• 統計的有用性を損なわず、強力なプライバシー保証を提供する形式的かつ数学的に厳密なプライバシー保護型データ分析のアプローチを構築すること。
• 研究、政策、一般の理解を促進するため、連邦機関がデータを公開する際の実用的フレームワークを提供すること。

提案手法

• 論文は、微分プライバシーを形式的プライバシー保証として提唱し、特定の個人のデータが含まれるか否かが解析結果に与える影響が微小であることを保証する。
• 個々の寄与をぼかすために、特にラプラス分布やガウス分布のノイズを統計的クエリに追加するという概念を導入する。
• カウント、合計、ヒストограмなどの一般的な統計的演算に微分プライバシーを適用し、プライバシー損失が境界内に抑えられ、定量的に測定可能であることを保証する。
• プライバシー予算（εおよびδ）の使用を強調し、複数のクエリにわたる累積的なプライバシー損失を形式的に追跡・制限する。
• インタラクティブおよび非インタラクティブなデータ公開を両立させ、研究者が形式的なプライバシー保証のもとでデータを照会できるようにする。
• 微分プライバシーを連邦機関のデータライフサイクル（収集から公開まで）に統合し、エンドツーエンドのプライバシー保護を実現する。

実験結果

リサーチクエスチョン

• RQ1 連邦統計機関は、集計統計が非常に正確であっても、個人のプライバシーを損なわず、それらを公開できるか？
• RQ2 機密データセットに対して複数の統計的クエリを公開する場合、どのような形式的プライバシー保証を提供できるか？
• RQ3 微分プライバシーを大規模な連邦データ収集に実用的に適用できるか？ その際、統計的正確性と有用性を維持できるか？
• RQ4 情報回復の根本的法則は、現代のデータ環境における従来の脱識別化技術をどのように損なうか？
• RQ5 実世界の連邦統計システムに微分プライバシーを実装するための運用的・技術的フレームワークは何か？

主な発見

• 情報回復の根本的法則は、わずか数個の正確な統計を公開するだけで、個人の再識別が可能になる可能性があることを示しており、従来の脱識別化手法では不十分であることを示している。
• 微分プライバシーは、クエリ数に関係なく、個人ごとの最大情報漏洩量を明確に制限する数学的に厳密なプライバシー保証を提供する。
• 適切に調整されたノイズを統計的出力に追加することで、補助情報が存在しても個人レコードを信頼性を持って推定することは不可能になる。
• このフレームワークにより、強力なプライバシー保証のもとで有用な集計統計を公開でき、研究や政策のための広範なデータアクセスを可能にする。
• この論文は、プライバシー保護型データ分析が理論的に妥当であるだけでなく、連邦統計機関にとって実用的に可能であることを確立している。
• 連邦データシステムへの微分プライバシーの適用により、公共の利益と個人の機微性の両立を図る新しいデータ共有の時代が到来する。