[論文レビュー] Stop the Open Data Bus, We Want to Get Off

Chris Culnane, Ariel Rubinstein+1 more|arXiv (Cornell University)|Aug 14, 2019

Privacy-Preserving Technologies in Data参考文献 10被引用数 10

ひとこと要約

この論文は、2018年メルボルン・データソン中に公開されたMyki公共交通機関データセットが、時刻付きの1〜3件の移動イベントのみを用いて、研究者が自分自身や同乗者、さらには他人を容易に再特定可能であることを示している。本研究は、オープンデータ提供における脱識別化の非効率性を明らかにし、特に脆弱な個人にとって深刻なプライバシーリスクをもたらしている。

ABSTRACT

The subject of this report is the re-identification of individuals in the Myki public transport dataset released as part of the Melbourne Datathon 2018. We demonstrate the ease with which we were able to re-identify ourselves, our co-travellers, and complete strangers; our analysis raises concerns about the nature and granularity of the data released, in particular the ability to identify vulnerable or sensitive groups.

研究の動機と目的

• 2018年メルボルン・データソン中に公開されたMyki公共交通機関データセットにおける個人の再特定可能性を調査すること。
• 大規模な交通データに適用された脱識別化技術の有効性を評価すること。
• 外部情報が最小限である場合でも、脱識別化されたとされるデータを再特定可能にできるリスクを強調すること。
• プライバシー法の下で特に重要な、データ共有における技術的・手続的セキュリティ対策の強化を提言すること。
• 現在の脱識別化手法の限界と、個人のプライバシーに及ぼす現実世界の影響についての認識を高めること。

提案手法

• 正確な時刻と位置情報を用いて、著者自身のMykiカード利用履歴を活用し、自分自身を再特定すること。
• 共乗者の移動履歴と重複する時間帯・停留所を照合することで、共乗者を再特定すること。
• 3つの時刻・位置の組み合わせのみで他人を再特定可能であることを示し、移動パターンの高い一意性を実証すること。
• 公開されたソーシャルメディアデータ（例：ツイート）とMykiイベントを関連付けることで、外部メタデータを用いて個人を再特定すること。
• cardIdフィールドの分布と構造を分析し、それが意味的に脱識別化されたものであるか、単なる難読化に過ぎないかを評価すること。
• データセット全体のユニークネス分析を実施し、移動パターンから一意に特定可能な個人の割合を定量的に評価すること。

実験結果

リサーチクエスチョン

• RQ1 わずか数件の移動イベントのみを用いて、公開された交通データセットから個人をどの程度再特定可能か。
• RQ2 Mykiデータセットに適用された脱識別化プロセスは、再特定を防ぐためにどの程度効果的か。
• RQ3 直接的なデータアクセスがなくても、共乗イベントを用いて他の乗客の身元を推定できるか。
• RQ4 交通データと公開可能なソーシャルメディア情報とを組み合わせた場合、再特定リスクはどの程度か。
• RQ5 データが誤って「脱識別化済み」としてラベル付けされている場合、オーストラリアの現在のデータ共有法制度は、個人をどのように保護していないか。

主な発見

• 著者らは、正確な時刻が記録された1件の移動イベントのみを用いて自分自身を再特定に成功させ、最小限のデータでも完全な身元の再構築が可能であることを示した。
• 著者と共有した移動パターンにより、他の人物の再特定が可能であった。これは、共通の移動パターンが他の人の身元を暴露する可能性があることを示している。
• 1人の個人が、データセット内の3つの時刻・位置の組み合わせのみで再特定可能であることが判明し、移動パターンの高い一意性が示された。
• cardIdフィールドは、その低い数値範囲と分布から、元のMykiカード番号への非ランダムで逆引き可能なマッピングであることが判明し、安全な脱識別化とは言えなかった。
• 1500万枚以上のカードに対して約20億件のタッチオン・タッチオフイベントが含まれていたが、脱識別化されたとされる声明にもかかわらず、意味的なプライバシー保護は一切提供されていなかった。
• 本研究は、プライバシー法の下で共有される多くの脱識別化データセットが実際には再特定可能であることを確認しており、データ共有慣行に対する信頼を損なっている。