[논문 리뷰] Evaluation of per-record identification risk and swappability of records in a microdata set via decomposable models

Akimichi Takemura, Yushi Endo|ArXiv.org|2006. 03. 27.

Privacy-Preserving Technologies in Data참고 문헌 10인용 수 4

한 줄 요약

이 논문은 분해 가능한 로그선형 모델을 사용하여 마이크로데이터에서 개별 레코드의 신원 특정 위험을 체계적으로 평가하고, 안전한 레코드 교환을 가능하게 하는 체계적인 방법을 제안한다. 다원 연관표에 분해 가능한 모델을 AIC 최적화로 적합시켜, 낮은 추정 세포 확률을 가진 고위험(희귀) 레코드를 식별하고, 모델의 마진널을 유지하는 방식으로 교환을 가능하게 함으로써, 통계적 추론을 왜곡하지 않으면서 유출 통제를 실현한다.

ABSTRACT

We propose a strategy for disclosure risk evaluation and disclosure control of a microdata set based on fitting decomposable models of a multiway contingency table corresponding to the microdata set. By fitting decomposable models, we can evaluate per-record identification (or re-identification) risk of a microdata set. Furthermore we can easily determine swappability of risky records which does not disturb the set of marginals of the decomposable model. Use of decomposable models has been already considered in the existing literature. The contribution of this paper is to propose a systematic strategy to the problem of finding a model with a good fit, identifying risky records under the model, and then applying the swapping procedure to these records.

연구 동기 및 목표

• 마이크로데이터 세트에서 통계 모델링을 활용하여 레코드별 신원 특정 위험을 체계적으로 평가하는 방법을 개발하는 것.
• 핵심 변수에서 특성 조합이 희귀한 데 due하여 재식별 위험이 높은 레코드를 식별하는 것.
• 적합된 분해 가능한 모델의 충분통계량을 유지하는 방식으로 레코드 교환을 통한 유출 통제를 가능하게 하는 것.
• 공식 통계에서 흔한 큰 희소 연관표에 대해 계산적으로 실현 가능한 방법을 제공하는 것.
• 교환 과정이 모델의 마진널 분포를 변경하지 않아 통계적 타당성이 유지되도록 보장하는 것.

제안 방법

• 마이크로데이터의 핵심 변수에서 유도된 다원 연관표에 분해 가능한 로그선형 모델을 AIC를 사용하여 모델 선택 기준으로 적합시키는 것.
• 가능한 모델의 수가 너무 많을 경우(예: 8개 변수일 경우 3000만 개 이상), 局소 최적의 분해 가능한 모델을 찾는 알고리즘을 사용하는 것.
• 각 레코드의 세포 확률을 추정하며, 특히 매우 낮은 확률을 가진 표본 유일 레코드(고위험 케이스)에 초점을 맞추는 것.
• 분해 가능한 모델의 클리크에 해당하는 마진널 집합을 유지하는 방식으로 레코드 교환 절차를 적용하는 것.
• Takemura & Hara (2002)의 필요 및 충분 조건을 활용하여, 어떤 레코드가 다른 레코드와 교환되어도 모델의 충분통계량이 손상되지 않는지 판단하는 것.
• 각 고위험 레코드에 대해, 최소 정점 분리자에서 동일한 값을 공유하지만 클리크에서 다른 값을 가지는 후보 교환 파artner를 검색하는 것.

실험 결과

연구 질문

• RQ1 많은 핵심 변수를 포함한 큰 희소 마이크로데이터 세트에서 레코드별 신원 특정 위험을 체계적으로 평가하는 방법은 무엇인가?
• RQ2 연관표 내 세포 확률 기반으로 재식별 위험이 높은 레코드를 효과적이고 계산적으로 실현 가능한 방법으로 식별하는 방법은 무엇인가?
• RQ3 통계 모델의 충분통계량을 유지함으로써 데이터 유용성을 유지하는 방식으로 레코드 교환을 수행하는 방법은 무엇인가?
• RQ4 반복 추정 절차에 의존하지 않고도 분해 가능한 모델을 활용하여 마이크로데이터의 유출 위험을 효율적으로 식별하고 통제할 수 있는가?
• RQ5 두 레코드의 교환이 적합된 분해 가능한 모델의 마진널 분포를 변경하지 않도록 보장하는 조건은 무엇인가?

주요 결과

• 제안된 방법은 추정 세포 확률이 10⁻⁸ 이하인 50개의 표본 유일 레코드(희귀도가 가장 높은 두 개 포함)를 성공적으로 식별하고 교환 가능하게 했다.
• 국소 최적의 분해 가능한 모델을 찾는 알고리즘이 큰 모델 공간(예: 8개 변수일 경우 3000만 개 이상)을 효과적으로 탐색하여, 이 방법의 계산 실현 가능성을 확보했다.
• 공통 분리자 값과 다른 클리크 값 조건(조건 6)을 기반으로 한 교환은 효과적이었으며, 대부분의 고위험 레코드에 대해 빠르게 유효한 교환 파artner를 찾는 데 성공했다.
• 분해 가능한 모델은 세포 확률의 명시적이고 반복이 없는 추정을 가능하게 하여 희귀 세포 위험을 정확히 평가하는 데 핵심적인 역할을 했다.
• AIC를 사용한 모델 선택은 희소하고 큰 표본 설정에서 이론적 한계가 있음에도 불구하고 실용적이고 상당히 효과적인 기준을 제공했다.
• 이 방법은 모델의 충분통계량을 유지하므로, 유출 통제 후에도 데이터 기반 통계적 추론의 타당성이 유지된다.