[논문 리뷰] ($k$,$\epsilon$)-Anonymity: $k$-Anonymity with $\epsilon$-Differential Privacy

Naoise Holohan, Spiros Antonatos외 2명|arXiv (Cornell University)|2017. 10. 04.

Privacy-Preserving Technologies in Data참고 문헌 21인용 수 12

한 줄 요약

이 논문은 k-익명성과 ϵ-차별적 프라이버시를 통합하여 데이터셋의 프라이버시 보호를 향상시키는 통합 프레임워크인 (k,ϵ)-익명성을 제안한다. 일부 준식별자에 대해서만 k-익명성을 적용하고 나머지에는 ϵ-차별적 프라이버시를 적용함으로써 정보 손실을 줄이고 차원의 극복 문제를 완화하며, 조건부로 작은 k와 ϵ 값이라도 기록 억류율이 5% 미만이고 연결 위험도 5% 이하로 유지된다.

ABSTRACT

The explosion in volume and variety of data offers enormous potential for research and commercial use. Increased availability of personal data is of particular interest in enabling highly customised services tuned to individual needs. Preserving the privacy of individuals against reidentification attacks in this fast-moving ecosystem poses significant challenges for a one-size fits all approach to anonymisation. In this paper we present ($k$,$\epsilon$)-anonymisation, an approach that combines the $k$-anonymisation and $\epsilon$-differential privacy models into a single coherent framework, providing privacy guarantees at least as strong as those offered by the individual models. Linking risks of less than 5\% are observed in experimental results, even with modest values of $k$ and $\epsilon$. Our approach is shown to address well-known limitations of $k$-anonymity and $\epsilon$-differential privacy and is validated in an extensive experimental campaign using openly available datasets.

연구 동기 및 목표

• k-익명성의 한계, 즉 차원의 극복 문제를 해결하고, 정보 손실이 높은 차별적 프라이버시의 문제점을 해결하기 위해.
• k-익명성과 ϵ-차별적 프라이버시의 장점을 통합한 통합 프라이버시 모델을 개발하기 위해.
• k-익명성 클러스터를 활용하여 차별적 프라이버시의 노이즈 주입을 최소화함으로써 정보 손실을 줄이기 위해.
• 기록 연결 위험도와 억류율을 사용하여 프레임워크의 프라이버시 보장을 평가하기 위해.
• 실세계 데이터셋에서 하이브리드 모델의 실현 가능성과 제어 가능성을 입증하기 위해.

제안 방법

• 특정 준식별자 서브셋에 대해서만 k-익명성을 적용하여 동등성 클래스를 형성하기 위해.
• 남은 준식별자에 대해 ϵ-차별적 프라이버시를 적용하기 위해 개인 기록을 보호하기 위해 보정된 노이즈를 추가하기 위해.
• 각 기록이 높은 확률(≥99%)로 최소 k−1개의 다른 기록과 구별되지 않도록 확신 기반 k-익명성을 사용하기 위해.
• 억류된 기록 수를 제한하기 위해 억류 예산을 도입하며, 최대 5%로 제한하기 위해.
• k-익명성에서 유도된 클러스터링 구조를 활용하여 차별적 프라이버시가 필요한 공간의 차원을 감소시키기 위해.
• OLA 및 Mondrian 알고리즘을 기본 k-익명성 방법으로 사용한 후, 나머지 속성에 대해 ϵ-차별적 프라이버시를 적용하기 위해 확장하기 위해.

실험 결과

연구 질문

• RQ1 k-익명성과 ϵ-차별적 프라이버시는 의미 있는 단일 프라이버시 프레임워크로 통합될 수 있는가?
• RQ2 두 모델을 융합함으로써 각각 별도로 사용할 경우보다 정보 손실이 감소하는가?
• RQ3 이 프레임워크는 데이터 유용성을 유지하면서 재식별 위험을 어느 정도까지 제한할 수 있는가?
• RQ4 다양한 데이터셋에서 k와 ϵ 값이 변화함에 따라 억류율은 어떻게 변화하는가?
• RQ5 하이브리드 모델은 k-익명성의 차원의 극복 문제를 완화하고 차별적 프라이버시의 노이즈를 줄이는가?

주요 결과

• (k,ϵ)-익명성 프레임워크는 엄격한 99% 신뢰도 k-익명성 요구 조건 하에서도 평가된 모든 데이터셋에서 기록 억류율이 5% 미만으로 유지된다.
• 실험 전반에 걸쳐 연결 위험도가 항상 5% 이하로 유지되어 재식별 공격에 강력한 저항성을 보였다.
• OLA 기반 익명화의 경우, (k,ϵ)-익명성이 k-익명성 단독 대비 래티스 탐색 공간이 감소하여 성능 향상이 14배에서 32배에 이르렀다.
• Mondrian 알고리즘은 노이즈 적용을 위한 추가 루프로 인해 실행 시간이 증가했지만, 작은 ϵ 값에서는 여전히 억류율이 5% 이하로 유지되었다.
• 모델은 준식별자 공간의 차원을 효과적으로 감소시켜, 결과적으로 차별적 프라이버시 구성 요소에서 요구되는 노이즈를 줄였다.
• 작은 k와 ϵ 값이라도 강력한 프라이버시 보장을 유지하여 실세계 적용에 대한 실현 가능성을 입증했다.