[論文レビュー] The future of statistical disclosure control

Mark Elliot, Josep Domingo‐Ferrer|arXiv (Cornell University)|Dec 21, 2018

Privacy-Preserving Technologies in Data参考文献 58被引用数 9

ひとこと要約

この論文は、ビッグデータ、機械学習、データ共有の拡大によって引き起こされるデータプライバシーの課題に対応して、統計的機密保護（SDC）の進化と将来を検討する。国勢統計局における実務的ニーズから発展したSDCの歴史的経緯を概説し、特にデータ連携、アルゴリズムバイアス、データ利用における差別の防止に関する、プライバシー保護分野における今後の主要な課題を特定する。

ABSTRACT

Statistical disclosure control (SDC) was not created in a single seminal paper nor following the invention of a new mathematical technique, rather it developed slowly in response to the practical challenges faced by data practitioners based at national statistical institutes (NSIs). SDC's subsequent emergence as a specialised academic field was an outcome of three interrelated socio-technical changes: (i) the advent of accessible computing as a research tool in the 1980s meant that it became possible - and then increasingly easy - for researchers to process larger quantities of data automatically; this naturally increased demand for such data; (ii) it became possible for data holders to process and disseminate detailed data as digital files and (iii) the number of organisations holding data about individuals proliferated. This also meant the number of potential adversaries with the resources to attack any given dataset increased exponentially. In this article, we describe the state of the art for SDC and then discuss the core issues and future challenges. In particular, we touch on SDC and big data, on SDC and machine learning, and on SDC and anti-discrimination.

研究の動機と目的

• 国立統計局（NSI）における実務的データプライバシー課題への対応として、統計的機密保護（SDC）の歴史的発展を分析すること。
• SDCが実務的データ管理作業から専門的な学術分野へと変容した背後にある社会的・技術的要因を特定すること。
• ビッグデータ、機械学習、およびデータ分析における差別の防止に関連するSDC分野における新興の課題を検討すること。
• 進化するデータ処理能力と個人のプライバシーに対する脅威の増大を踏まえた、SDC手法の将来志向的な評価を提供すること。

提案手法

• アクセス可能なコンピューティング、デジタルデータ配布、データ保有機関の増加という3つの主要な社会的・技術的シフトの視点から、SDCの歴史的経路を分析する。
• データアクセスと処理能力の拡大に伴い、再識別攻撃を実行可能な潜在的攻撃者の数が増加していることを検証する。
• 現代のデータ環境における限界を焦点に、現在の最先端のSDC技術をレビューする。
• 機械学習とデータ連携が再識別リスクに与える影響、特に匿名化されたデータ内での再識別パターンの検出に注目する。
• 特に医療や社会サービスなどの感受性の高い分野において、データ分析から差別的結果を防ぐためにSDCが果たす役割を検討する。
• プライバシーを設計段階から組み込む原則と進化するデータサイエンスの実践を統合する、今後のSDC開発のための枠組みを提言する。

実験結果

リサーチクエスチョン

• RQ1 統計的機密保護は、どのように実務的データ管理作業から形式的な学術分野へと発展したのか？
• RQ2 現代のデータエコシステムにおいて、再識別リスクを顕著に高めた主な社会的・技術的要因は何か？
• RQ3 ビッグデータと機械学習技術は、従来のSDC手法にどのような挑戦をもたらし、再識別リスクをどのように増大させているのか？
• RQ4 データ駆動型意思決定において差別的結果を防ぐために、SDC技術はどのように再設計されなければならないか？
• RQ5 ますます複雑化するデータ環境において、プライバシーを維持するためのSDC研究が今後どのような方向性をとるべきか？

主な発見

• 統計的機密保護は、単一の理論的ブレークスルーから生まれたのではなく、国立統計局における継続的な実務的対応によって発展した。
• データ保有機関の増加とデータのデジタル化により、再識別攻撃を実行可能な潜在的攻撃者の数が指数関数的に増加した。
• 機械学習技術は、表面上は匿名化されたデータ内でも再識別パターンを自動的に検出可能にするため、新たな機密保護リスクをもたらしている。
• データ利用における差別の防止を考慮するには、SDC手法が単なる匿名化を越えて、公平性を意識したデータ処理とアクセス制御を含む必要がある。
• SDCの今後の方向性は、プライバシー保護技術とデータサイエンスワークフローを統合することにあり、とりわけ安全なデータ共有と微分プライバシーの文脈で重要である。
• 現在のSDC実務は、データ連携、動的データ処理、推論攻撃の高度化といった課題に対応するために進化させる必要がある。