[논문 리뷰] Privacy Assessment of De-identified Opal Data: A report for Transport for NSW

Chris Culnane, Benjamin I. P. Rubinstein외 1명|arXiv (Cornell University)|2017. 04. 27.

Privacy-Preserving Technologies in Data참고 문헌 2인용 수 4

한 줄 요약

이 논문은 뉴사우스웨일즈 주 교통국이 공개한 익명화된 오팔 대중교통 데이터셋의 프라이버시 위험을 평가하며, 현재의 공개가 탭온/탭오프 이벤트 간의 분리와 소규모 카운트의 억제 덕분에 합리적으로 안전하다는 점을 밝혀내지만, 개인이나 소규모 집단을 낮은 확률로 탐지할 잔여 위험이 존재함을 확인한다 (예: 개인에 대해 약 100만 분의 2). 저자들은 향후 공개를 위해 차별적 프라이버시 매개변수의 공개와 영향을 받는 값이 0인 경우에도 흩어짐을 적용하는 것이 프라이버시 보장을 강화하는 데 기여할 것이라고 주장한다.

ABSTRACT

We consider the privacy implications of public release of a de-identified dataset of Opal card transactions. The data was recently published at https://opendata.transport.nsw.gov.au/dataset/opal-tap-on-and-tap-off. It consists of tap-on and tap-off counts for NSW's four modes of public transport, collected over two separate week-long periods. The data has been further treated to improve privacy by removing small counts, aggregating some stops and routes, and perturbing the counts. This is a summary of our findings.

연구 동기 및 목표

• 뉴사우스웨일즈 주 교통국에서 제공한 익명화된 오팔 카드 거래 데이터의 공개에 따른 프라이버시 위험을 평가하는 것.
• 데이터 억제, 집계, 차별적 프라이버시 흩어짐 등의 현재 익명화 기법의 효과성을 평가하는 것.
• 익명화에도 불구하고 개인이나 소규모 집단 탐지 가능성을 포함한 잔여 프라이버시 위험을 규명하는 것.
• 프라이버시 매개변수 공개 및 0 카운트에 대한 흩어짐 적용 등 향후 향상된 차별적 프라이버시 실천 방식을 제안하는 것.
• 분석 목적에 맞게 데이터 처리 방식을 조율함으로써 향후 데이터 공개가 기능성과 프라이버시를 균형 있게 유지할 수 있도록 하는 것.

제안 방법

• 탭온과 탭오프 이벤트 간의 연결성을 분석하였으며, 이벤트 간 분리가 프라이버시에 핵심적임을 발견함.
• 차별적 프라이버시는 라플라스 노이즈를 사용하여 적용되었으며, 프라이버시 매개변수 p를 사용하지만, δ 매개변수가 0이 아니어서 더 약한 프라이버시 보장을 초래함.
• 저자들은 데이터에서 흩어짐 매개변수를 역공학적으로 추론하여, 차별적 프라이버시를 위해 비밀 유지가 필수적이지 않음을 입증하고, 따라서 매개변수의 공개를 주장함.
• 통계적 추론과 공개 정보를 활용하여 개인 또는 소규모 집단이 데이터 내에서 탐지될 가능성을 평가함.
• 시간 전용, 위치 전용, 시간+위치 전용으로 별도로 처리된 데이터 세트 간의 차이를 계산하여 억제된 값 복원 가능성을 평가함.
• 예를 들어 펜리스에서 야간 버스 노선를 식별하는 것과 같은 실제 사례를 통해 부분 정보가 추론에 어떻게 기여할 수 있는지 설명함.

실험 결과

연구 질문

• RQ1 소규모 카운트 억제 및 흩어짐이 적용된 후에도 특정 개인 또는 소규모 집단이 익명화된 오팔 데이터 내에서 탐지될 가능성이 얼마나 되는가?
• RQ2 공개된 데이터에서 차별적 프라이버시 메커니즘의 매개변수를 추론할 수 있는가? 이는 프라이버시와 투명성에 어떤 영향을 미치는가?
• RQ3 시간 전용, 위치 전용, 시간+위치 전용으로 별도로 처리된 데이터가 상호 간에 복원 가능한 정보를 유출할 정도로 간접적으로 정보를 드러내는 정도는 어느 정도인가?
• RQ4 소규모 카운트 억제와 탭온/탭오프 이벤트 분리가 프라이버시와 데이터 기능성에 각각 어떤 영향을 미치는가?
• RQ5 현재 익명화 절차를 어떻게 개선하여 데이터 기능성에 지나치게 영향을 주지 않으면서도 프라이버시를 강화할 수 있는가?

주요 결과

• 현재 데이터셋은 탭온과 탭오프 이벤트가 분리되어 있어, 같은 개인의 여정을 연결할 수 없기 때문에 공개에 있어 합리적으로 안전하다.
• 개인의 데이터 내 탐지 가능도는 약 100만 분의 2로 추정되며, 소규모 집단의 경우 1,000분의 1 이하로 낮지만, 여전히 0이 아닌 위험이 있음.
• 차별적 프라이버시 메커니즘은 비순수한 ε-차별적 프라이버시인 (ε,δ)-차별적 프라이버시를 제공하며, δ가 0이 아니므로 순수한 ε-차별적 프라이버시보다 더 약한 보장을 제공함.
• 흡세기 메커니즘의 매개변수는 데이터로부터 추론 가능하므로, 이러한 매개변수의 공개는 안전할 뿐 아니라 투명성과 위험 평가에 유익함.
• 시간, 위치, 병합 데이터를 별도로 처리하는 방식은 공차를 계산함으로써 공격자가 억제된 값을 재구성할 수 있게 하여 의도치 않은 프라이버시 유출을 초래할 수 있음.
• 0 카운트에 대한 흩어짐 적용과 모든 매개변수의 공개를 통해 향후 데이터 공개의 프라이버시 수준과 신뢰성은 크게 향상될 수 있음.