[논문 리뷰] Noninformative Bounding in Differential Privacy and Its Impact on Statistical Properties of Sanitized Results in Truncated and Boundary-Inflated-Truncated Laplace Mechanisms.

Fang Liu|arXiv (Cornell University)|2016. 07. 28.

Privacy-Preserving Technologies in Data참고 문헌 15인용 수 3

한 줄 요약

이 논문은 경계가 있는 데이터의 비밀성 보장된 정제를 위한 비정보성 경계 처리 절차—절단된 것과 경계 확장형 절단된(BIT) 라플라스 기반 방법—을 제안한다. 이는 원래 정보를 泄露하지 않으면서도 개인정보를 보호한다. 이는 이러한 방법이 통계적 타당성을 유지함으로써, 비경계화 또는 정보성 경계화 접근 방식에 비해 편향을 줄이고 결과의 일致성을 유지함을 보여준다.

ABSTRACT

Protection of individual privacy is a common concern when releasing and sharing data and information. Differential privacy (DP) formalizes privacy in mathematical terms without making assumptions about the background knowledge of data intruders and thus provides a robust concept for privacy protection. Practical applications of DP involve development of differentially private mechanisms to generate sanitized results without compromising individual privacy at a pre-specified privacy budget. Differentially private mechanisms make the most sense for sanitizing bounded data in general from the data utility perspective. In this paper, we define noninformative and informative bounding procedures in sanitization of bounded data, depending on whether a bounding procedure itself leaks original information or not. We introduce differentially private truncated and boundary inflated truncated (BIT) mechanisms with bounding constraints, and apply them in the framework of the Laplace mechanism. The impacts of the two noninformative bounding procedures on the accuracy and statistical validity of sanitized results are evaluated both theoretically and empirically, in terms of bias and consistency relative to their original values and to the underlying true parameters when the statistics are estimators of some parameters.

연구 동기 및 목표

• 경계화 절차에서 유출되는 정보를 최소화함으로써, 경계가 있는 데이터의 비밀성 보장된 정제에서 데이터 유용성을 유지하는 데 도전하는 것.
• 비밀성 보장된 정제에서 정보성 경계화와 비정보성 경계화의 차이를 체계화하여, 개인정보 보호와 유용성 간의 트레이드오프를 강조하는 것.
• 경계가 있는 데이터를 위한 비정보성 경계화 기법으로서 절단된 및 경계 확장형 절단된(BIT) 라플라스 기반 방법을 개발하고 평가하는 것.
• 이러한 경계화 방법이 진정한 매개변수에 비해 정제된 결과의 편향과 일치성에 미치는 통계적 영향을 평가하는 것.
• 비정보성 경계화 하에서 정제된 결과의 통계적 타당성과 정확성에 대한 이론적 및 실증적 검증을 제공하는 것.

제안 방법

• 정보성 경계화는 원래 데이터 값의 정보를 泄露할 수 있는 반면, 비정보성 경계화는 원래 데이터 값의 정보를 泄露하지 않는 절차로 정의한다.
• 소음 분포를 알려진 데이터 경계에 제한함으로써 기존의 기밀성 보장 조건을 유지하면서도, 경계 내에서만 작용하는 절단된 라플라스 기반 방법을 도입한다.
• 비밀성 보장을 유지하면서 유용성을 향상시키기 위해 약간 더 넓은 경계를 적용하는 경계 확장형 절단된(BIT) 라플라스 기반 방법을 제안한다.
• 라플라스 기반 방법의 프레임워크 내에서 이러한 기반 방법을 적용하여 경계가 있는 데이터의 정제된 통계량을 생성한다.
• 두 기반 방법 하에서 정제된 추정량의 편향과 일치성에 대한 이론적 분석을 수행하고, 이를 진정한 기반 매개변수와 비교한다.
• 모의 또는 실제 경계가 있는 데이터를 사용하여 정제된 결과의 통계적 성질을 실증적으로 평가하여 정확성과 타당성을 측정한다.

실험 결과

연구 질문

• RQ1 비정보성 경계화 절차는 경계가 있는 데이터에서 비밀성 보장된 정제 결과의 통계적 편향에 어떻게 영향을 미치는가?
• RQ2 절단된 및 경계 확장형 절단된(BIT) 라플라스 기반 방법은 진정한 매개변수에 비해 정제된 추정량의 일치성을 어느 정도 유지하는가?
• RQ3 비정보성 경계화는 비경계화 또는 정보성 경계화에 비해 정제된 결과의 정확성과 통계적 타당성에 어떤 영향을 미치는가?
• RQ4 경계가 있는 데이터 제약 조건 하에서 절단된 및 BIT 라플라스 기반 방법은 개인정보 보호-유용성 트레이드오프 측면에서 어떻게 비교되는가?
• RQ5 비정보성 경계화 절차는 정제된 결과가 통계적으로 타당하고 추론에 유용하게 유지될 수 있도록 보장할 수 있는가?

주요 결과

• 비경계화 라플라스 노이즈에 비해 절단된 라플라스 기반 방법은 데이터가 알려진 경계 내에 국한되어 있을 경우, 정제된 결과의 편향을 줄이는 데 기여한다.
• 경계 확장형 절단된(BIT) 라플라스 기반 방법은 절단에 기인한 편향을 줄이기 위해 경계를 약간 확장함으로써 정확성을 더욱 향상시키며, 동시에 비밀성 보장을 유지한다.
• 비정보성 경계화 방법은 두 가지 모두 정제된 추정량의 통계적 일치성을 유지하여 표본 크기가 증가함에 따라 진정한 매개변수 값에 수렴하게 한다.
• 이론적 분석을 통해 두 기반 방법 모두 동일한 비밀성 예산 하에서 비밀성 보장을 유지함을 확인하여, 기반 방법의 기밀성 보장 조건이 타당함을 입증한다.
• 실증 결과는 정보성 경계화가 원래 데이터 정보를 泄露할 수 있기 때문에, 비정보성 경계화가 정보성 경계화에 비해 더 정확하고 통계적으로 타당한 정제된 결과를 도출함을 보여준다.