[論文レビュー] Technical Privacy Metrics: a Systematic Survey

Isabel Wagner, David Eckhoff|DMU Open Research Archive (De Montfort University)|Dec 1, 2015

Privacy-Preserving Technologies in Data参考文献 155被引用数 24

ひとこと要約

本論文は、80以上の技術的プライバシー指標について体系的な調査を提示し、敵対者モデル、データソース、入力、出力測度ごとに分類している。9つの質問からなるフレームワークを導入し、指標選定を支援するとともに、主な研究ギャップを特定し、多様なシステムやユースケースにわたる堅牢なプライバシー評価を確保するためのマルチメトリック評価の推進を提言している。

ABSTRACT

The goal of privacy metrics is to measure the degree of privacy enjoyed by users in a system and the amount of protection offered by privacy-enhancing technologies. In this way, privacy metrics contribute to improving user privacy in the digital world. The diversity and complexity of privacy metrics in the literature makes an informed choice of metrics challenging. As a result, instead of using existing metrics, new metrics are proposed frequently, and privacy studies are often incomparable. In this survey we alleviate these problems by structuring the landscape of privacy metrics. To this end, we explain and discuss a selection of over eighty privacy metrics and introduce categorizations based on the aspect of privacy they measure, their required inputs, and the type of data that needs protection. In addition, we present a method on how to choose privacy metrics based on nine questions that help identify the right privacy metrics for a given scenario, and highlight topics where additional work on privacy metrics is needed. Our survey spans multiple privacy domains and can be understood as a general framework for privacy measurement.

研究の動機と目的

• プライバシー指標に関する体系的な概要の欠如が、評価の一貫性の欠如や重複した指標開発を引き起こしているという問題に対処する。
• 敵対者モデル、データソース、入力、出力測度に基づいた、プライバシー指標の包括的な分類体系を提供する。
• 特定のシナリオに適した適切なプライバシー指標の選定を支援する、9つの質問からなる意思決定フレームワークを導入する。
• メトリックの組み合わせ、集約、相互依存プライバシーといった分野が、今後の研究において未だ十分に検討されていないことを見出す。
• 多様で補完的なメトリックの使用を促進し、包括的かつ堅牢なプライバシー評価を実現する。

提案手法

• 著者らは、敵対者モデル、データソース、入力、出力測度という4つのコアな特徴に基づき、80以上のプライバシー指標を分析・分類している。
• 出力測度を8つのカテゴリに分類している：不確実性、情報量の増減、データ類似度、区別不能性、敵対者の成功確率、誤差、時間、正確性／精度。
• 引用頻度と概念的有望性に基づき、プライバシー強化技術（PETs）に適用可能な技術的指標を選定するため、体系的文献レビューを実施している。
• システムの文脈、脅威モデル、プライバシー目標に基づいて、最も適切な指標を選定できるよう、9つの質問からなるフレームワークを提案している。
• 一貫性、単調性、解釈可能性といった基準を用いて、指標の品質を評価しており、これには先行する実証的研究からの知見を活用している。
• 解釈性と有用性を向上させるために、正規化、感度重み付け、文脈的拡張などの手法を用いた、指標の組み合わせや集約方法を検討している。

実験結果

リサーチクエスチョン

• RQ1 敵対者モデル、データソース、入力、出力測度という観点から、プライバシー指標を特徴づける主な特徴は何か？
• RQ2 研究者は、特定のシステムやPETに対して、どのようにして最も適切なプライバシー指標を体系的に選定できるか？
• RQ3 一貫性、単調性、解釈可能性という観点から、現在のプライバシー指標の限界は何か？
• RQ4 複数のプライバシー指標をどのように組み合わせたり集約したりすれば、より包括的なプライバシー評価が可能になるか？
• RQ5 特に相互依存プライバシーと指標品質評価に関する観点から、プライバシー指標開発における重要な研究ギャップは何か？

主な発見

• 調査では、データベース、通信システム、ソーシャルネットワークを含む6つのプライバシー分野にわたり、80以上の技術的プライバシー指標を同定・分類している。
• 不確実性、情報量の増減、区別不能性といった出力測度のカテゴリは、異なるプライバシー特性間での指標比較を体系的に行う手段を提供する。
• 9つの質問からなるフレームワークにより、システム固有の要件、敵対者の能力、データの機微さに基づいて、研究者が指標を体系的に評価・選定できる。
• 正規化や感度重み付けによる指標の組み合わせは解釈性を向上させられるが、最適な手法はまだ明確ではなく、さらなる研究が求められる。
• 本研究では、指標の品質に顕著なばらつきが認められ、一貫性の欠如や単調性の欠如が既存の指標で見られたことから、厳密な評価フレームワークの構築が急務であることが明らかになった。
• 指標の組み合わせや集約、特に動的またはマルチパーティ型システムにおける相互依存プライバシーのモデリングに関して、依然として研究ギャップが存在する。