[논문 리뷰] Congenial Differential Privacy under Mandated Disclosure

Ruobin Gong, Xiao‐Li Meng|arXiv (Cornell University)|2020. 08. 24.

Privacy-Preserving Technologies in Data참고 문헌 17인용 수 6

한 줄 요약

이 논문은 고정된 통계량(법률 또는 정책에 의해 요구되는 것 등)을 포함한 필수 데이터 공개 조건을 핵심 개인정보 보호 메커니즘에 통합하는 원칙적인 프레임워크인 친화적 차별적 비밀유지(Congenial Differential Privacy)를 제안한다. 이는 불변 마진에 대한 확률적 조건부 적용을 통해 개인정보 보호와 공개 단계 간의 절차적 호환성을 보장함으로써, 후행 처리를 위한 부호적 후처리가 필요 없게 하여 통계적 타당성과 투명성을 유지한다.

ABSTRACT

Differentially private data releases are often required to satisfy a set of external constraints that reflect the legal, ethical, and logical mandates to which the data curator is obligated. The enforcement of constraints, when treated as post-processing, adds an extra phase in the production of privatized data. It is well understood in the theory of multi-phase processing that congeniality, a form of procedural compatibility between phases, is a prerequisite for the end users to straightforwardly obtain statistically valid results. Congenial differential privacy is theoretically principled, which facilitates transparency and intelligibility of the mechanism that would otherwise be undermined by ad-hoc post-processing procedures. We advocate for the systematic integration of mandated disclosure into the design of the privacy mechanism via standard probabilistic conditioning on the invariant margins. Conditioning automatically renders congeniality because any extra post-processing phase becomes unnecessary. We provide both initial theoretical guarantees and a Markov chain algorithm for our proposal. We also discuss intriguing theoretical issues that arise in comparing congenital differential privacy and optimization-based post-processing, as well as directions for further research.

연구 동기 및 목표

• 법률 또는 정책에 의해 요구되는 고정된 통계량(예: 고정된 합계)을 차별적 비밀유지 데이터 공개에 통합하면서도 개인정보 보호성이나 통계적 타당성을 훼손하지 않는 문제를 해결하기 위해.
• 다단계 데이터 처리에서 발생하는 비친화성 문제(즉, 개인정보 보호 단계와 분석 단계 간의 불일치로 인해 후행 처리가 통계적 추론을 무효화하는 문제)를 해결하기 위해.
• 후행 처리를 피하고 제약 조건을 개인정보 보호 메커니즘에 직접 통합함으로써 이론적으로 원칙적이며 투명하고 이해하기 쉬운 차별적 비밀유지 프레임워크를 제공하기 위해.
• 외부 제약 조건(예: 고정된 마진 합계)이 적용되더라도 개인정보 보호 보장을 유지하기 위해 불변 마진에 대한 표준 확률적 조건부 적용을 사용함으로써, 개인정보 보호 보장이 손상되지 않도록 보장하기 위해.

제안 방법

• 고정된 행 또는 열 합계와 같은 불변 마진에 조건부를 적용하여 의무적 공개 조건을 자연스럽게 충족시키고, 후행 처리가 필요 없도록 하는 방법을 제안한다.
• 표준 확률적 조건부 적용을 사용하여 개인정보 보호와 제약 조건을 모두 충족시키는 사후 분포를 유도함으로써, 개인정보 보호 단계와 분석 단계 간의 친화성을 확보한다.
• 정보가 없을 경우의 공백 지식을 표현하기 위해 신념 함수와 하한 확률 측도를 활용하여 개인정보 보호 모델링에서 무지의 엄밀한 처리를 가능하게 한다.
• 복잡한 제약 조건을 충족하는 고차원 차별적 비밀유지 데이터 생성을 위한 마르코프 체인 몬테카를로(Markov chain Monte Carlo, MCMC) 알고리즘을 개발한다.
• 다중 보완 이론에서 유래한 비친화성 개념을 개인정보 보호 메커니즘에 적용하여, 불일치하는 후행 처리가 통계적 무효성의 원인이 되는 것으로 프레임워크화한다.
• 제안된 메커니즘에 대한 이론적 보장을 확립하여, 불변 마진에 조건부 적용이 차별적 비밀유지 성질을 유지하고 논리적 일관성을 확보함을 보여준다.

실험 결과

연구 질문

• RQ1 의무적 데이터 공개(예: 법률 또는 정책에 의해 요구되는 고정된 통계량)를 차별적 비밀유지 데이터 공개에 체계적으로 통합할 수 있는 방법은 무엇인가? 이 과정에서 개인정보 보호성이나 통계적 타당성이 손상되지 않도록 보장할 수 있는가?
• RQ2 비공식화된 후처리 단계 이후 외부 제약 조건(예: 고정된 마진 합계)이 적용될 경우, 개인정보 보호 메커니즘이 여전히 통계적으로 타당한가를 보장하기 위한 조건은 무엇인가?
• RQ3 불변 마진에 조건부 적용이 다단계 처리에서 친화성을 어떻게 이끌어내며, 이는 왜 유효한 통계적 추론을 위해 필수적인가?
• RQ4 정보가 없는 사전 분포가 존재할 경우, 신념 함수와 하한 확률 측도는 공백 지식을 어떻게 모델링하는가?
• RQ5 고차원 환경에서 복잡한 제약 조건을 충족하면서도 개인정보 보호 보장을 유지하는 효율적인 MCMC 알고리즘은 어떻게 설계할 수 있는가?

주요 결과

• 친화적 차별적 비밀유지는 확률적 조건부 적용을 통해 개인정보 보호와 공개 제약 조건을 동시에 충족시키며, 후행 처리가 필요 없게 되어 비친화성을 피할 수 있다.
• 제안된 방법은 불변 마진에 조건부 적용이 차별적 비밀유지 성질을 유지하므로 개인정보 손실이 유한하고 해석 가능하게 유지됨을 보장한다.
• 고차원 설정에서도 효율적으로 제약 조건이 있는 차별적 비밀유지 분포에서 샘플링할 수 있도록 마르코프 체인 몬테카를로(Markov chain Monte Carlo, MCMC) 알고리즘을 개발하였다.
• 하한 확률 함수를 사용하여 공백 지식을 엄밀하게 표현할 수 있는 기반을 제공하여, 균일 또는 기준 사전 분포의 개념적 결함을 피할 수 있다.
• 이론적 분석을 통해 불변 마진에 조건부 적용이 유일하고 일관된 사후 분포를 도출함을 확인하여, 외부 제약 조건을 개인정보 보호 메커니즘에 처리하는 방법에 대한 모호성을 해결하였다.
• γ의 선택을 통해 효과적인 개인정보 손실 예산을 정확히 추적할 수 있도록 하여, 불변 조건을 충족시키는 알고리즘 간의 공정한 성능 비교를 가능하게 하였다.