[논문 리뷰] How to Avoid Reidentification with Proper Anonymization

David Sánchez, Sergio Mart́ınez외 1명|arXiv (Cornell University)|2018. 08. 03.

Privacy-Preserving Technologies in Data참고 문헌 13인용 수 15

한 줄 요약

이 논문은 익명처리가 재식별에 효과가 없다는 주장을 도전하며, 특히 k-익명성과 차별적 비밀유지 기법을 통해 거래 데이터베이스에서 재식별을 성공적으로 방지할 수 있음을 보여준다. 저자들은 이러한 방법이 올바르게 구현될 경우 데이터 유용성을 유지하면서도 강력한 프라이버시 보장을 제공함을 입증하며, 탈식별 데이터에서 대부분의 개인이 본질적으로 재식별 가능하다는 주장에 대응한다.

ABSTRACT

De Montjoye et al. claimed that most individuals can be reidentified from a deidentified transaction database and that anonymization mechanisms are not effective against reidentification. We demonstrate that anonymization can be performed by techniques well established in the literature.

연구 동기 및 목표

• 탈식별된 거래 데이터베이스에서 대부분의 개인이 재식별 가능하다는 주장을 반박하기 위해.
• 문헌에 기록된 익명처리 기법이 올바르게 적용될 경우 효과적임을 입증하기 위해.
• 강력한 프라이버시 메커니즘이 사용될 경우, 조건부로 제한된 데이터에서도 재식별이 필수적인 것은 아니라는 것을 보여주기 위해.
• 데 몽주이 등이 수행한 신용카드 메타데이터 재식별에 관한 영향력 있는 연구에 대한 기술적 반박을 제공하기 위해.

제안 방법

• 저자들은 각 개인의 데이터가 데이터셋 내에서 최소 k−1명의 다른 사람들과 구별되지 않도록 k-익명성을 적용한다.
• 질의 결과에 정밀하게 조절된 노이즈를 추가하여 차별적 비밀유지를 적용함으로써 통계적 추론을 통한 재식별 위험을 최소화한다.
• 보조 정보가 존재하더라도, 어떤 개인의 재식별 확률이 사전에 정의된 임계값 이하로 유지되도록 보장한다.
• 일반화 및 노이즈 파rameter의 철저한 선택을 통해 정보 손실를 최소화함으로써 데이터 유용성을 유지한다.
• 이론적 분석과 데 몽주이 등이 사용한 방법론과의 비교를 통해 프레임워크를 검증한다.
• 형식적인 프라이버시 정의를 사용하여 익명처리가 강력한 프라이버시 보장을 충족함을 보장한다.

실험 결과

연구 질문

• RQ1 적절히 적용될 경우 익명처리 기법이 거래 데이터베이스에서 재식별을 방지할 수 있는가?
• RQ2 탈식별된 데이터에서 대부분의 개인이 재식별 가능하다는 주장은 경험적이고 이론적으로 타당한가?
• RQ3 어떤 특정 익명처리 방법이 프라이버시를 효과적으로 유지하면서도 데이터 유용성을 유지할 수 있는가?
• RQ4 k-익명성과 차별적 비밀유지는 재식별 공격에 대해 어떻게 비교될 수 있는가?
• RQ5 중대한 데이터 유용성 손실 없이 강력한 프라이버시 보장을 달성할 수 있는가?

주요 결과

• 적절하게 구현된 k-익명성은 각 개인이 데이터셋 내에서 최소 k−1명의 다른 사람들과 구별되지 않도록 함으로써 재식별을 방지할 수 있다.
• 적절하게 파arameter화된 차별적 비밀유지는 재식별 위험을 사전에 정의된 임계값 이하로 제한하는 공식적인 수학적 보장을 제공한다.
• 일반화와 노이즈 주입의 조합은 데이터 유용성을 유지하면서도 재식별 가능성을 크게 감소시킨다.
• 본 연구는 데 몽주이 등이 보고한 재식별 결과가 익명처리 절차의 결함에서 기인한 것이지, 익명처리의 본질적 한계에서 기인한 것이 아니라는 것을 입증한다.
• 엄격한 기준으로 적용될 경우, 익명처리가 거래 데이터의 프라이버시를 보호하기 위한 실현 가능하고 효과적인 방법임을 보여준다.