[논문 리뷰] Bayesian and Frequentist Semantics for Common Variations of Differential Privacy: Applications to the 2020 Census

Daniel Kifer, John M. Abowd외 6명|arXiv (Cornell University)|2022. 09. 07.

Privacy-Preserving Technologies in Data인용 수 10

한 줄 요약

이 논문은 2020년 미국 합계 인구 조사 분열 데이터에 적용된 다섯 가지 주요 차별적 프라이버시 변종—순수, 약간의, 레니, 제로-집중, f-차별적 프라이버시—에 대한 종합적인 의미 해석을 제공한다. 더 나아가, 프라이버시 손실 매개변수의 해석 가능성을 향상시키기 위해 확률적으로 제약된 차별적 프라이버시(pbdp)를 도입하며, 프라이버시 보장을 통계적 가설 검정과 베이지안 사후 분포 간 비교를 통해 프레임워크화한다. 또한 레니와 제로-집중 DP에 대한 새로운 베이지안 의미론을 제시하여 실세계 데이터 공개에서 맞춤형이고 세밀한 프라이버시 보장을 가능하게 한다.

ABSTRACT

The purpose of this paper is to guide interpretation of the semantic privacy guarantees for some of the major variations of differential privacy, which include pure, approximate, Rényi, zero-concentrated, and $f$ differential privacy. We interpret privacy-loss accounting parameters, frequentist semantics, and Bayesian semantics (including new results). The driving application is the interpretation of the confidentiality protections for the 2020 Census Public Law 94-171 Redistricting Data Summary File released August 12, 2021, which, for the first time, were produced with formal privacy guarantees.

연구 동기 및 목표

• 2020년 합계 인구 조사에서 사용된 핵심 차별적 프라이버시 변종의 통계적 의미를 명확히 하여 정책 및 기술적 의사결정 지원을 목적으로 한다.
• 약간의 차별적 프라이버시에서 δ 매개변수의 광범위한 오해를 해결하기 위해 확률적으로 제약된 차별적 프라이버시(pbdp)를 도입한다.
• 순수, 약간의, 레니, 제로-집중, f-차별적 프라이버시의 프라이버시 손실 매개변수를 빈도주의 및 베이지안 관점에서 통합하고 의미를 해석한다.
• 실세계 데이터 공개, 특히 2020년 합계 인구 조사 분열 데이터에 대해 사후 분포 간 비교를 활용하여 프라이버시 보장을 평가할 수 있는 프레임워크를 제공한다.

제안 방법

• f-차별적 프라이버시의 재매개변수화로서 프라이버시 손실 매개변수의 해석 가능성을 향상시키기 위해 확률적으로 제약된 차별적 프라이버시(pbdp)를 제안한다.
• 프라이버시 손실 랜덤 변수(PLRV)의 관점에서 프라이버시 보장을 분석하며, 이는 우도 비율 검정과 빈도주의 가설 검정과 연결된다.
• 사전-사후 비교의 오류를 피하기 위해 프라이버시 평가를 위해 베이지안 사후-사후 비교를 적용한다. 이는 일반 지식과 프라이버시 침해를 혼동하는 것을 방지한다.
• 레니와 제로-집중 DP에 대한 새로운 베이지안 의미론을 유도하며, pbdp와의 연결을 보여주고 사후 비율 변화의 범위를 제공한다.
• 이론적 프라이버시 의미론을 실세계 구현에 기반시키기 위해 2020년 합계 인구 조사 공개 회피 시스템(DAS)을 생산 환경으로 활용한다.
• 순수, 약간의, 레니, zCDP, f-DP의 다양한 프라이버시 정의를 통합하여 세밀하고 맥락에 맞는 프라이버시 보장을 지원하는 일관된 프레임워크를 확립한다.

실험 결과

연구 질문

• RQ1 다양한 차별적 프라이버시 변종의 프라이버시 손실 매개변수는 정책 및 통계적 맥락에서 어떻게 의미 있게 해석될 수 있는가?
• RQ2 특히 가설 검정에서 제1종 오류와 제2종 오류의 트레이드오프 측면에서, 차별적 프라이버시 정의의 빈도주의적 함의는 무엇인가?
• RQ3 베이지안 사후-사후 비교는 전통적인 사전-사후 비교보다 더 세밀한 프라이버시 보장을 어떻게 제공하는가?
• RQ4 약간의 차별적 프라이버시에서 δ 매개변수의 역할은 무엇이며, 왜 자주 오해받는가?
• RQ5 확률적으로 제약된 차별적 프라이버시(pbdp)는 표준 (ε,δ)-DP에 비해 더 해석 가능한 대안으로서 어떻게 기능할 수 있는가?

주요 결과

• 논문은 확률적으로 제약된 차별적 프라이버시(pbdp)를 도입하며, 이는 표준 (ε,δ)-DP보다 더 해석 가능한 프라이버시 손실 매개변수를 제공하는 f-차별적 프라이버시의 재매개변수화이다.
• 레니와 제로-집중 DP에 대한 새로운 베이지안 의미론이 도출되었으며, 이는 현실적인 공격자 사전 분포 하에서 이러한 정의가 의미 있는 사후-사후 프라이버시 보장을 제공함을 보여준다.
• 프라이버시 손실 랜덤 변수(PLRV) 프레임워크를 통해 차별적 프라이버시와 빈도주의 가설 검정 간 직접적인 연결이 가능해지며, 이에 따라 프라이버시 매개변수가 제1종 오류와 제2종 오류 간의 트레이드오프를 조절한다.
• 연구는 다양한 프라이버시 정의가 상호 교환 가능하지 않으며, 순수, 약간의, 레니, zCDP, f-DP의 조합이 종합적인 프라이버시 의미론을 위해 필요하다는 것을 입증한다.
• 2020년 합계 인구 조사 분열 데이터 공개는 이러한 정의의 맞춤형 사용을 통해 세밀한 프라이버시 보장을 달성하며, pbdp가 약간의 DP에서 δ의 더 투명한 대안을 제공한다.
• 논문은 사전-사후 비교의 함정을 피하는 베이지안 프라이버시 의미론이 개인의 프라이버시 위험을 더 정확하게 평가할 수 있음을 보여준다.