[논문 리뷰] ($k$,$ε$)-Anonymity: $k$-Anonymity with $ε$-Differential Privacy

Naoise Holohan, Spiros Antonatos외 2명|arXiv (Cornell University)|2017. 10. 04.

Privacy-Preserving Technologies in Data인용 수 4

한 줄 요약

이 논문은 k-익명성과 ε-차별적 프라이버시를 통합하여 데이터셋의 프라이버시 보호를 향상시키는 (k,ε)-익명성이라는 통합 프레임워크를 제안한다. 선택된 준식별자에 대해 k-익명성을 적용하고, 나머지 준식별자에 대해 ε-차별적 프라이버시를 적용함으로써 정보 손실과 연결 위험을 감소시킨다. 낮은 k와 ε 값 조건에서도 기록 억제 비율이 5% 미만으로 유지되며, 개별적으로 사용할 경우보다 성능과 프라이버시 보장을 향상시킨다.

ABSTRACT

The explosion in volume and variety of data offers enormous potential for research and commercial use. Increased availability of personal data is of particular interest in enabling highly customised services tuned to individual needs. Preserving the privacy of individuals against reidentification attacks in this fast-moving ecosystem poses significant challenges for a one-size fits all approach to anonymisation. In this paper we present ($k$,$ε$)-anonymisation, an approach that combines the $k$-anonymisation and $ε$-differential privacy models into a single coherent framework, providing privacy guarantees at least as strong as those offered by the individual models. Linking risks of less than 5\% are observed in experimental results, even with modest values of $k$ and $ε$. Our approach is shown to address well-known limitations of $k$-anonymity and $ε$-differential privacy and is validated in an extensive experimental campaign using openly available datasets.

연구 동기 및 목표

• k-익명성과 ε-차별적 프라이버시를 별도로 사용할 경우 발생하는 높은 정보 손실과 차원의 극복 문제를 해결하기 위해.
• k-익명성의 결정적 불가지각성과 ε-차별적 프라이버시의 확률적 불가지각성을 통합한 통합 프라이버시 모델을 개발하기 위해.
• k-익명성 클러스터를 활용해 차별적 프라이버시에서 노이즈 주입을 최소화함으로써 정보 손실을 감소시키기 위해.
• 연결 위험과 신뢰도 기반 k-익명성 메트릭을 사용하여 프레임워크의 프라이버시 보장을 평가하기 위해.
• 실세계 데이터셋을 대상으로 억제 비율과 성능 오버헤드를 통제하면서 실험적으로 접근을 검증하기 위해.

제안 방법

• 프레임워크는 준식별자 일부에 대해 k-익명성을 적용하여 동일한 클래스에 최소 k건의 기록이 포함되도록 한다.
• 나머지 준식별자에 대해서는 보다 안정적인 개인 기록 보호를 위해 조정된 노이즈를 추가함으로써 ε-차별적 프라이버시를 구현한다.
• 기록 연결 위험을 정량화하기 위해 신뢰도 기반 k-익명성을 사용하며, 재식별 가능 확률의 허용 가능한 임계값을 설정한다.
• 성능 및 억제 오버헤드 평가를 위해 두 가지 k-익명성 알고리즘(Ola 및 Mondrian)을 차별적 프라이버시와 결합한다.
• 일부 속성을 k-준식별자로, 다른 속성을 ε-준식별자로 간주함으로써 프라이버시 보장 공간의 차원을 감소시켜 노이즈 주입을 최소화한다.
• 기록 억제는 최대 5% 억제 예산을 충족시키기 위해 필요할 경우에만 적용되어 데이터 유틸리티가 유지된다.

실험 결과

연구 질문

• RQ1 k-익명성과 ε-차별적 프라이버시를 의미 있는 방식으로 하나의 일관된 프라이버시 프레임워크로 통합할 수 있는가?
• RQ2 k-익명성과 ε-차별적 프라이버시를 융합하면 별도로 사용할 경우보다 정보 손실이 감소하는가?
• RQ3 강력한 적대자 모델 하에서 (k,ε)-익명성의 연결 위험은 얼마이며, 5% 이하로 유지될 수 있는가?
• RQ4 다양한 데이터셋과 알고리즘에서 억제 오버헤드와 계산 효율성 측면에서 프레임워크의 성능은 어떠한가?
• RQ5 신뢰도 기반 k-익명성은 하이브리드 모델에서 프라이버시 보장을 정량화하는 데 효과적으로 적용될 수 있는가?

주요 결과

• 낮은 k와 ε 값 조건에서도 연결 위험은 5% 이하로 유지되어 강력한 프라이버시 보장을 입증한다.
• ε 값이 1.0 이하일 경우, 모든 데이터셋에서 99% 신뢰도 기반 k-익명성이 k 값에 관계없이 2% 미만의 기록 억제로 달성된다.
• OLA를 사용할 경우, k-익명성과 신뢰도 기반 요구사항의 총 억제 비율이 작은 ε 값에서 5% 이하로 유지되어 억제 예산을 충족한다.
• Mondrian 알고리즘은 더 작은 동등 클래스를 형성하기 때문에 OLA보다 높은 억제 비율을 보이지만, 작은 ε 값에서는 여전히 5% 이하로 유지된다.
• OLA를 사용할 경우, (k,ε)-익명성 프레임워크는 레이티스 탐색 공간이 감소함에 따라 성능이 14배에서 32배 빨라진다. 반면 Mondrian는 추가적인 노이즈 주입 루프로 인해 런타임이 다소 증가한다.
• 모델은 프라이버시 보장 공간의 차원을 감소시켜 차별적 프라이버시에서의 노이즈 요구량을 낮추고 데이터 유틸리티를 향상시켰다.