[논문 리뷰] On the Semantics of Purpose Requirements in Privacy Policies

Michael Carl Tschantz, Anupam Datta외 1명|arXiv (Cornell University)|2011. 02. 21.

Access Control and Trust참고 문헌 35인용 수 6

한 줄 요약

이 논문은 수정된 마르코프 결정 과정(MDP)에 기반한 계획 기반 모델을 사용하여 개인정보 정책 내 목적 요구사항에 대한 형식적 의미 이론을 제안한다. 이를 통해 특정 목적을 위해 행동이 수행되었는지의 자동 감사가 가능해진다. 주요 기여는 '오직 목적을 위한'(제한적) 및 '목적을 위한 것이 아님'(금지적)이라는 두 가지 목적 제약 조건을 구분할 수 있는 형식적 프레임워크를 제공함으로써, 정확하고 자동화된 시행 및 기존 정책 시행 방법의 비교가 가능해진다.

ABSTRACT

Privacy policies often place requirements on the purposes for which a governed entity may use personal information. For example, regulations, such as HIPAA, require that hospital employees use medical information for only certain purposes, such as treatment. Thus, using formal or automated methods for enforcing privacy policies requires a semantics of purpose requirements to determine whether an action is for a purpose or not. We provide such a semantics using a formalism based on planning. We model planning using a modified version of Markov Decision Processes, which exclude redundant actions for a formal definition of redundant. We use the model to formalize when a sequence of actions is only for or not for a purpose. This semantics enables us to provide an algorithm for automating auditing, and to describe formally and compare rigorously previous enforcement methods.

연구 동기 및 목표

• 개인정보 정책에서 행동이 '특정 목적을 위해' 수행되었는지 판단하기 위한 형식적 의미 이론의 부재로 인해 자동 시행이 저해되는 문제를 해결하기 위해.
• 목적을 계획의 결과로 모델링하여 행동이 특정 목표를 달성하기 위해 선택됨을 통해 준수에 대한 형식적 추론이 가능하도록 하기 위해.
• '오직 목적을 위한'(제한적) 및 '목적을 위한 것이 아님'(금지적)이라는 두 가지 목적 요구사항 유형을 구분함으로써, 각각 다른 감사 논리가 필요하다는 점을 명확히 하기 위해.
• 형식적 의미 기반 프레임워크를 통해 기존 정책 시행 기법들을 비교하고 평가할 수 있는 기반을 제공하기 위해.
• 직원의 인센티브를 허용된 목적과 일치시켜 위반 위험을 줄이고, 숨겨진 동기의 탐지 가능성을 높이는 운영 정책 설계를 지원하기 위해.

제안 방법

• 불확실성 하에서 목표 달성을 극대화하기 위해 행동을 선택하는 계획을 표현하기 위해 수정된 마르코프 결정 과정(MDP) 모델을 사용한다.
• 맥키의 인과성 프레임워크를 영감으로 삼은 반사적 추론에 기반해, 목적을 달성하는 데 필수적인 '중복 제거 행동'의 개념을 도입한다.
• 행동이 목적을 달성하는 데 있어 비중복적이며, 목적 자체가 행동을 동기화하는 데 비중복적일 경우, 행동의 시퀀스가 '목적을 위해' 수행된 것으로 정의한다.
• 형식적 의미를 적용하여 개인정보 정책 내 제한적('오직 목적을 위한') 및 금지적('목적을 위한 것이 아님') 목적 요구사항을 모두 형식화한다.
• 관찰된 행동이 금지된 목적을 위해 가능성이 있는지 확인하는 알고리즘을 개발하여 자동 감사를 수행한다.
• 브라트만의 의도 및 계획 이론을 활용하여 의미 이론을 목적과 의도의 인지적 및 철학적 기반에 기반시킨다.

실험 결과

연구 질문

• RQ1 개인정보 정책 시행의 맥락에서 행동의 시퀀스가 '목적을 위해' 수행된다고 형식적으로 정의할 수 있는 방법은 무엇인가?
• RQ2 형식적 의미 이론 측면에서 '오직 목적을 위한'(제한적) 목적 요구사항과 '목적을 위한 것이 아님'(금지적) 목적 요구사항은 무엇으로 구분되는가?
• RQ3 비중복 행동을 어떻게 형식적으로 식별하여 특정 목적을 달성하는 데 필수적인지 판단할 수 있는가?
• RQ4 자체 감사를 가능하게 하는 개인정보 정책 준수를 위한 형식적 의미 이론을 구성할 수 있는가?
• RQ5 계획 의미 이론에 기반한 통합된 형식적 프레임워크 하에서 기존의 시행 방법들은 어떻게 비교될 수 있는가?

주요 결과

• 논문은 목적이 달성되지 않더라도 행동이 '목적을 위해' 수행된 것으로 간주될 수 있음을 입증하였으며, 이는 의도와 목적에 대한 철학적 관점과 일치한다.
• 형식적 의미 이론은 관찰된 행동이 금지된 목적을 위해 가능성이 있는지 여부를 판단함으로써 자동 감사를 가능하게 하여 잠재적 위반을 탐지할 수 있다.
• 프레임워크는 기존의 시행 방법들이 행동에 목적을 할당하기 위한 형식적 기반을 결여하고 있으며, 대신 직관이나 히وري스틱에 의존하고 있음을 드러냈다.
• 모델은 숨겨진 동기의 타당한 부인 가능성으로 인해 목적 기반 준수 검사가 본질적으로 복잡하다는 점을 보여주며, 기능 분리와 같은 정책의 정당성을 뒷받침한다.
• 의미 이론은 이전의 시행 기법들을 비교하고 평가할 수 있는 형식적 기반을 제공하여 각 기법의 강점과 한계를 드러낸다.
• 이 접근법은 직원의 인센티브를 허용된 목적과 일치시켜 위반을 줄이는 운영 정책 설계를 지원한다.