[논문 리뷰] Privacy for the Protected (Only)

Michael Kearns, Aaron Roth외 2명|arXiv (Cornell University)|2015. 05. 31.

Privacy-Preserving Technologies in Data참고 문헌 4인용 수 6

한 줄 요약

이 논문은 사회적 네트워크에서 고위험 개인(예: 테러범 또는 감염자)을 대상으로 타겟 검색을 가능하게 하면서도, 지정된 하위집단(예: 비테러범 또는 비감염자)의 개인정보만 보호하는 새로운 프라이버시 모델을 제안한다. 이는 노이즈가 첨가된 그래프 검색 방법을 사용하는 차별적 프라이버시 알고리즘인 Private Search(PTarget)를 제안하며, 보호 대상 개인의 프라이버시를 보장하기 위해 보정된 노이즈 주입을 통해 공식적인 프라이버시 보장을 제공한다. 이는 보호된 차별적 프라이버시를 통해 실현된다.

ABSTRACT

Motivated by tensions between data privacy for individual citizens, and societal priorities such as counterterrorism and the containment of infectious disease, we introduce a computational model that distinguishes between parties for whom privacy is explicitly protected, and those for whom it is not (the targeted subpopulation). The goal is the development of algorithms that can effectively identify and take action upon members of the targeted subpopulation in a way that minimally compromises the privacy of the protected, while simultaneously limiting the expense of distinguishing members of the two groups via costly mechanisms such as surveillance, background checks, or medical testing. Within this framework, we provide provably privacy-preserving algorithms for targeted search in social networks. These algorithms are natural variants of common graph search methods, and ensure privacy for the protected by the careful injection of noise in the prioritization of potential targets. We validate the utility of our algorithms with extensive computational experiments on two large-scale social network datasets.

연구 동기 및 목표

• 사회적 필요(예: 반테러, 전염병 통제)와 개인의 프라이버시 권리 사이의 갈등을 해결하기 위해.
• 보호 대상 개인의 프라이버시를 훼손하지 않으면서도 사회적 네트워크에서 고위험 개인을 식별할 수 있는 알고리즘을 개발하기 위해.
• 감시, 검사 등 비용이 많이 드는 식별 기법(예: 감시, 검사)의 수를 최소화하면서도 보호 대상 개인에 대한 강력한 프라이버시 보장을 유지하기 위해.
• 모든 개인이 아니라 특정 하위집단에만 프라이버시 보호가 적용되는 모델을 체계화하기 위해.
• 노이즈가 첨가된 그래프 탐색 방법을 사용하여 네트워크에서 타겟 검색을 위한 증명 가능한 프라이버시 보장이 가능한 알고리즘을 제공하기 위해.

제안 방법

• 보호된 차별적 프라이버시라는 새로운 프라이버시 모델을 도입하여, 프라이버시 보장이 지정된 보호 대상 하위집단에만 적용된다.
• 두 가지 핵심 원리인 SFS(타겟 노드의 연결 성분을 식별하기 위한 검색)와 SearchCom(타겟 하위집단 내에서 새로운 시드 노드를 찾기 위한 검색)를 제안한다.
• 검색 단계에서 ε/2-차별적 프라이버시를 확보하기 위해 라플라스 노이즈를 사용한 Report Noisy Max 메커니즘을 적용한다.
• 후처리 및 노이즈 주입(라플라스 분포를 통해)을 통해 임계값을 충족하는 보호 대상 노드 수에 대해 ε/2-차별적 프라이버시를 보장한다.
• SFS와 SearchCom을 번갈아가며 반복적으로 적용하는 알고리즘(P-Target)을 구성하여 기존 성분을 확장하고 새로운 시드를 찾는다.
• 합성 정리(Composition Theorems)를 적용하여 전체 알고리즘이 (k−1)ε-보호된 차별적 프라이버시 및 (2√(2(k−1)ln(1/δ))ε, δ)-보호된 차별적 프라이버시를 만족함을 증명한다.

실험 결과

연구 질문

• RQ1 사회적 네트워크에서 비타겟 개인의 프라이버시를 보존하면서도 고위험 개인을 식별할 수 있는 타겟 검색 알고리즘을 설계할 수 있는가?
• RQ2 모든 개인에게 동일한 보호를 적용하지 않고도 보호 대상 하위집단에 대한 공식적인 프라이버시 보장을 어떻게 확보할 수 있는가?
• RQ3 타겟 네트워크 분석에서 프라이버시, 유효성, 비용(예: 요구되는 조사 수) 사이의 상호 보완적 관계는 어떠한가?
• RQ4 기본적인 그래프 검색 알고리즘에 대한 약간의 수정만으로도 강력한 프라이버시 보장을 달성할 수 있는가?
• RQ5 노드 우선순위 정하기에 노이즈를 사용할 경우, 타겟 식별의 정확성과 완전성에 어떤 영향을 미치는가?

주요 결과

• 제안된 PTarget 알고리즘은 최대로 식별하고자 하는 서로소 성분의 수 k에 대해 (k−1)ε-보호된 차별적 프라이버시를 달성한다.
• 알고리즘은 타겟 하위집단이 활발히 검색되고 있는 동안에도 보호 대상 개인의 프라이버시를 유지함을 보장한다.
• 두 개의 대규모 사회적 네트워크(DBLP 및 다른 하나)에서 수행된 계산 실험을 통해 접근의 유효성이 검증되었으며, 프라이버시 泄露 최소화와 함께 효과적인 타겟 식별이 가능함을 보여준다.
• 노이즈를 사용한 노드 우선순위 정리(Report Noisy Max 및 라플라스 노이즈를 통한)는 검색 성능을 크게 떨어뜨리지 않으면서도 강력한 프라이버시 보장을 가능하게 한다.
• SFS와 SearchCom 단계의 조합을 통해 타겟 개인의 다수의 연결 성분을 반복적으로 탐색할 수 있다.
• 이론적 분석을 통해 SFS와 SearchCom이 모두 차별적 프라이버시를 만족하며, 이들의 조합이 보호된 차별적 프라이버시 프레임워크 하에서 프라이버시를 유지함을 확인하였다.