[논문 리뷰] A Novel Microdata Privacy Disclosure Risk Measure

Marmar Orooji, Gerald M. Knapp|arXiv (Cornell University)|2019. 01. 02.

Privacy-Preserving Technologies in Data참고 문헌 5인용 수 12

한 줄 요약

이 논문은 기존 방법이 별도로 다루고 엄격한 구분을 가정하는 바탕으로, 통합 프레임워크 내에서 신원 유출 위험과 속성 유출 위험을 동시에 정량화하는 새로운 마이크로데이터 개인정보 유출 위험 측정법을 제안한다. 이 방법은 탄력적인 적대자 모델과 효율적인 알고리즘을 사용하며, 실제 사회복지 데이터셋을 대상으로 검증되어 실현 가능성과 성능이 입증되었다.

ABSTRACT

A tremendous amount of individual-level data is generated each day, of use to marketing, decision makers, and machine learning applications. This data often contain private and sensitive information about individuals, which can be disclosed by adversaries. An adversary can recognize the underlying individual's identity for a data record by looking at the values of quasi-identifier attributes, known as identity disclosure, or can uncover sensitive information about an individual through attribute disclosure. In Statistical Disclosure Control, multiple disclosure risk measures have been proposed. These share two drawbacks: they do not consider identity and attribute disclosure concurrently in the risk measure, and they make restrictive assumptions on an adversary's knowledge by assuming certain attributes are quasi-identifiers and there is a clear boundary between quasi-identifiers and sensitive information. In this paper, we present a novel disclosure risk measure that addresses these limitations, by presenting a single combined metric of identity and attribute disclosure risk, and providing flexibility in modeling adversary's knowledge. We have developed an efficient algorithm for computing the proposed risk measure and evaluated the feasibility and performance of our approach on a real-world data set from the domain of social work.

연구 동기 및 목표

• 기존의 개인정보 유출 위험 측정법이 신원 유출과 속성 유출을 별개의 위험으로 다루는 한계를 해결하기 위해.
• 어느 속성이 준식별자인지 또는 민감 정보인지에 대한 엄격한 가정이 필요 없도록 하기 위해.
• 적대자의 지식을 더 현실적으로 모델링할 수 있는 통합적이고 탄력적인 위험 지표를 개발하기 위해.
• 제안된 위험 측정법을 계산하기 위한 효율적인 알고리즘을 설계하고 구현하기 위해.
• 사회복지 분야의 실제 마이크로데이터 세트에서 방법의 실현 가능성과 성능을 평가하기 위해.

제안 방법

• 신원 유출 위험과 속성 유출 위험을 하나의 지표로 통합하는 병합된 유출 위험 측정법을 제안한다.
• 모든 속성이 준식별자 상태를 사전에 정의하지 않고도 유출 위험에 기여할 수 있도록, 탄력적인 방식으로 적대자의 지식을 모델링한다.
• 재식별 가능성과 민감 정보 유출 가능성을 추정하기 위해 확률적 프레임워크를 사용한다.
• 실제 데이터셋에 적용 가능한 확장성을 확보하기 위해 계산 효율성이 높은 알고리즘을 활용한다.
• 실제 사회복지 분야의 마이크로데이터 세트에 위험 측정법을 적용하여 실용적 실현 가능성의 가능성을 입증한다.
• 기준치 기반 접근 방식을 활용하여 유출 위험 수준을 평가함으로써, 실질적인 개인정보 보호 의사결정을 가능하게 한다.

실험 결과

연구 질문

• RQ1 신원 유출 위험과 속성 유출 위험를 어떻게 하나의 일관된 위험 지표로 통합할 수 있는가?
• RQ2 탄력적인 적대자 모델이 개인정보 유출 위험 평가의 현실성에 얼마나 기여할 수 있는가?
• RQ3 제안된 위험 측정법은 실세계 마이크로데이터 세트에서 효율적으로 계산될 수 있는가?
• RQ4 기존의 개인정보 유출 위험 측정법과 비교할 때, 제안된 방법은 정확성과 유연성 측면에서 어떤가?
• RQ5 제안된 위험 측정법은 실제 사회복지 데이터 환경에서 배치하는 데 실용적으로 가능한가?

주요 결과

• 제안된 위험 측정법은 신원 유출 위험과 속성 유출 위험을 하나의 일관된 지표로 성공적으로 통합하였다.
• 사전에 준식별자 경계를 정의할 필요가 없어지면서, 적대자의 지식을 더 현실적으로 모델링할 수 있게 되었다.
• 알고리즘이 실제 마이크로데이터 세트 처리에 있어 계산상 실현 가능함을 입증하였다.
• 사회복지 데이터 세트에 대한 평가를 통해 방법의 실용적 적용 가능성과 성능이 확인되었다.
• 기존 방법에 비해 더 세밀하고 정확한 개인정보 유출 위험 평가가 가능함을 보여주었다.
• 결과적으로, 이 위험 측정법이 민감한 개인정보를 포함하는 분야에서의 데이터 공개 의사결정을 효과적으로 안내하는 데 활용될 수 있음을 확인하였다.