[논문 리뷰] Privacy-Preserving Data Analysis for the Federal Statistical Agencies

John M. Abowd, Lorenzo Alvisi외 4명|arXiv (Cornell University)|2017. 01. 03.

Privacy-Preserving Technologies in Data참고 문헌 4인용 수 11

한 줄 요약

이 논문은 미국 연방 통계 기관에서의 개인정보 보호 데이터 분석을 위한 엄밀한 프레임워크를 제안한다. 이는 정확한 집계 통계가 개인의 프라이버시를 침해할 수 있다는 '정보 복원의 기본 법칙'을 다루며, 통계적 유용성을 유지하면서도 수학적으로 개인의 프라이버시를 보장하는 차등적 비밀유지 알고리즘을 제안한다. 이를 통해 연구 및 정책 수립을 위한 안전한 데이터 공유가 가능해진다.

ABSTRACT

Government statistical agencies collect enormously valuable data on the nation's population and business activities. Wide access to these data enables evidence-based policy making, supports new research that improves society, facilitates training for students in data science, and provides resources for the public to better understand and participate in their society. These data also affect the private sector. For example, the Employment Situation in the United States, published by the Bureau of Labor Statistics, moves markets. Nonetheless, government agencies are under increasing pressure to limit access to data because of a growing understanding of the threats to data privacy and confidentiality. "De-identification" - stripping obvious identifiers like names, addresses, and identification numbers - has been found inadequate in the face of modern computational and informational resources. Unfortunately, the problem extends even to the release of aggregate data statistics. This counter-intuitive phenomenon has come to be known as the Fundamental Law of Information Recovery. It says that overly accurate estimates of too many statistics can completely destroy privacy. One may think of this as death by a thousand cuts. Every statistic computed from a data set leaks a small amount of information about each member of the data set - a tiny cut. This is true even if the exact value of the statistic is distorted a bit in order to preserve privacy. But while each statistical release is an almost harmless little cut in terms of privacy risk for any individual, the cumulative effect can be to completely compromise the privacy of some individuals.

연구 동기 및 목표

• 탈식별화 기법에도 불구하고 연방 통계 데이터 공개에서의 개인정보 유출 위협 증가에 대응하기 위해.
• 정확한 집계 통계가 여전히 개인 정보 泄露를 초래할 수 있다는 역설적인 현실—즉, 정보 복원의 기본 법칙으로 알려진 현상에 대응하기 위해.
• 통계적 유용성을 훼손하지 않으면서도 강력한 프라이버시 보장을 보장하는 공식적이고 수학적으로 엄밀한 프라이버시 보존 데이터 분석 접근법을 개발하기 위해.
• 연구, 정책, 대중 이해를 위한 데이터 공개를 가능하게 하면서도 개인의 기밀성을 보호할 수 있는 실용적 프레임워크를 제공하기 위해.

제안 방법

• 논문은 차등적 비밀유지를 공식적 프라이버시 보장 수 Mittel로 제안하여, 어떤 한 개인의 데이터가 포함되거나 제외되더라도 분석 결과에 미치는 영향이 극히 미미하다는 것을 보장한다.
• 개념적으로는 통계적 쿼리에 보정된 노이즈—특히 라플라스 또는 가우시안 노이즈—를 추가하여 개인 기여도를 은폐하면서도 전체 데이터의 유용성은 유지한다.
• 차등적 비밀유지를 일반적인 통계 연산, 예를 들어 카운트, 합계, 히스토그램 등에 적용하여 프라이버시 손실이 유계이자 정량화 가능하도록 보장한다.
• 다중 쿼리에 걸쳐 누적 프라이버시 손실을 공식적으로 추적하고 제한하기 위해 프라이버시 예산(ε 및 δ)의 사용을 강조한다.
• 인터랙티브 및 비인터랙티브 데이터 공개를 모두 지원하여 연구자가 공식적 프라이버시 보장을 받는 조건에서 데이터를 쿼리할 수 있도록 한다.
• 차등적 비밀유지를 연방 기관의 데이터 라이프사이클 전반—수집에서부터 배포에 이르기까지—에 통합하여 종단 간 프라이버시 보호를 보장한다.

실험 결과

연구 질문

• RQ1 정확한 집계 통계를 공개함에도 불구하고 개인의 프라이버시가 침해되지 않도록 연방 통계 기관이 어떻게 조치를 취할 수 있는가?
• RQ2 민감한 데이터셋에 대해 다수의 통계 쿼리를 공개할 경우 어떤 공식적 프라이버시 보장을 제공할 수 있는가?
• RQ3 대규모 연방 데이터 컬렉션에 대해 차등적 비밀유지를 실용적으로 적용할 수 있는가? 이때 통계 정확성과 유용성은 유지되는가?
• RQ4 정보 복원의 기본 법칙은 현대 데이터 환경에서 기존의 탈식별화 기법을 어떻게 약화시키는가?
• RQ5 실제 연방 통계 시스템에 차등적 비밀유지를 구현하기 위해 필요한 운영 및 기술 프레임워크는 무엇인가?

주요 결과

• 정보 복원의 기본 법칙은 정확한 통계를 다수 공개할 경우 개인의 재식별 가능성이 발생할 수 있음을 보여주며, 이는 기존의 탈식별화 기법이 부적절하다는 것을 입증한다.
• 차등적 비밀유지는 개인당 최대 정보 泄露를 수학적으로 제한하는 엄밀한 프라이버시 보장을 제공하며, 쿼리 수에 관계없이 동일하게 작용한다.
• 정확히 보정된 노이즈를 통계 출력에 추가함으로써 개인 기록이 조건부 정보가 있더라도 신뢰성 있게 유추될 수 없도록 보장한다.
• 이 프레임워크는 강력한 프라이버시 보장을 유지하면서도 유용한 집계 통계를 공개할 수 있도록 하여 연구 및 정책 분석을 위한 더 넓은 데이터 접근을 가능하게 한다.
• 논문은 프라이버시 보존 데이터 분석이 이론적으로 타당할 뿐 아니라 연방 통계 기관에서 실용적으로 구현 가능하다는 것을 입증한다.
• 연방 데이터 시스템에 차등적 비밀유지를 적용함으로써 공공의 복리와 개인 기밀성 사이의 균형을 이루는 새로운 데이터 공유의 시대를 열 수 있다.