[논문 리뷰] Small Count Privacy and Large Count Utility in Data Publishing

Ada Wai-Chee Fu, Jia Wang외 2명|arXiv (Cornell University)|2012. 02. 15.

Privacy-Preserving Technologies in Data참고 문헌 35인용 수 7

한 줄 요약

이 논문은 소수의 집계 쿼리에서 유도된 민감한 정보—예를 들어 희귀한 의료 질환—를 특별히 보호하면서도 대규모 쿼리에 대해서는 높은 유용성을 유지하는, 차별적 개인정보 보호 기법을 개선한 새로운 개인정보 보호 데이터 공개 메커니즘을 제안한다. 대수의 법칙을 활용하고, 개선된 형태의 차별적 개인정보 보호를 도입함으로써, 대규모 집단에 대해서는 정확한 결과를 보장하고 소규모 집단에 대해서는 높은 오차를 유도함으로써, 기존 최고 수준의 방법들보다 유용성 면에서 뛰어나며, 민감한 소수의 쿼리에 대한 개인정보 유출을 방지한다.

ABSTRACT

While the introduction of differential privacy has been a major breakthrough in the study of privacy preserving data publication, some recent work has pointed out a number of cases where it is not possible to limit inference about individuals. The dilemma that is intrinsic in the problem is the simultaneous requirement of data utility in the published data. Differential privacy does not aim to protect information about an individual that can be uncovered even without the participation of the individual. However, this lack of coverage may violate the principle of individual privacy. Here we propose a solution by providing protection to sensitive information, by which we refer to the answers for aggregate queries with small counts. Previous works based on $\ell$-diversity can be seen as providing a special form of this kind of protection. Our method is developed with another goal which is to provide differential privacy guarantee, and for that we introduce a more refined form of differential privacy to deal with certain practical issues. Our empirical studies show that our method can preserve better utilities than a number of state-of-the-art methods although these methods do not provide the protections that we provide.

연구 동기 및 목표

• 높은 유용성은 소수의 집계 쿼리에서 유도되는 민감한 정보를 뜻하지 않게 泄露할 수 있는 개인정보-유용성 딜레마를 해결하기 위해.
• 표준 차별적 개인정보 보호로는 보호되지 않는, 공개된 데이터에서 유추할 수 있는 민감한 정보를 식별하고 보호하기 위해.
• 차별적 개인정보 보호 보장을 제공하면서도, 대규모 수의 쿼리는 정확하고 소규모 수의 쿼리는 흐리게 하는 분류된 유용성(즉, 대규모 수의 경우 정확하고 소규모 수의 경우 흐릿하게)을 제공하는 메커니즘을 개발하기 위해.
• ℓ-다양성과 전통적 차별적 개인정보 보호와 같은 기존 방법들이 소수의 쿼리에서의 추론 공격을 방지하지 못하는 한계를 극복하기 위해.

제안 방법

• 개인의 참여가 쿼리 결과에 미치는 영향을 최소화하기 위해, 개선된 형태의 차별적 개인정보 보호인 ℓ′-편향된 제로-차별적 개인정보 보호를 도입한다.
• 모집단의 크기에 따라 민감한 속성에 무작위화를 적용하며, 대수의 법칙을 활용해 대규모 집단에서는 노이즈를 감소시키고 소규모 집단에서는 노이즈를 증가시킨다.
• 유일한 설정 가능한 파라미터인 ℓ′만 존재하는 파라미터 없는 메커니즘을 사용하며, ℓ′ ≥ 5일 경우 강력한 유용성을 보여주며, 파라미터 선택에 민감하지 않음을 입증한다.
• 데이터 정제 과정을 통해 대규모 집단에서는 통계적 정확성을 유지하면서도 희귀한 패턴을 은폐하는 방식으로 민감한 값을 흐리게 한다.
• 모든 값이 속성 도메인 내에서 허용되도록 설계되어, 알려진 비민감한 속성을 통해 값 연결을 방지함으로써 보조 지식 공격에 저항하는 메커니즘을 설계한다.
• 공개된 데이터가 대규모 집단을 포함하는 집계 쿼리에 대해 높은 유용성을 유지하면서도, 소수의 쿼리는 의도적으로 흐리게 하여 泄露를 방지한다.

실험 결과

연구 질문

• RQ1 표준 차별적 개인정보 보호로는 보호되지 않는, 소수의 집계 쿼리에서 파생된 민감한 정보에 대해 강력한 개인정보 보호 보장을 제공할 수 있는가?
• RQ2 소수의 수에 기반한 추론 공격을 방지하면서도 대규모 쿼리의 유용성을 훼손하지 않고, 차별적 개인정보 보호를 어떻게 향상시킬 수 있는가?
• RQ3 집계 쿼리에서 대규모 및 소규모 집단을 구분함으로써, 개인정보 보호와 유용성의 균형을 어느 정도 달성할 수 있는가?
• RQ4 대규모 수의 쿼리에 대해 높은 유용성을 확보하고 소규모 수의 쿼리에 대해 강력한 개인정보 보호를 제공하는 파라미터 없는 또는 최소한의 파라미터를 가진 방법을 설계할 수 있는가?
• RQ5 기존의 최고 수준의 방법들과 비교했을 때, 본 연구에서 제안하는 방법은 소수의 쿼리를 명시적으로 보호하지 않는 방법들보다 개인정보 보호와 유용성 면에서 어떻게 뛰어나게 되는가?

주요 결과

• 실제 데이터셋을 대상으로 한 실험 결과, 소수의 쿼리에 대한 보호를 제공하지 않는 최고 수준의 방법들보다 본 연구에서 제안하는 방법이 훨씬 뛰어난 유용성을 확보한다.
• ℓ′를 5 이상으로 설정할 경우, 개인정보 보호에 거의 영향을 주지 않으면서도 강력한 유용성 성능을 보이며, 이는 파라미터 설정에 대해 매우 강건함을 시사한다.
• 희귀한 의료 질환과 같은 소수의 쿼리에서 유도되는 민감한 정보를 고려하여 고오차를 유도함으로써, 링크 공격을 방지하는 데 성공한다.
• 보조 지식이 있는 적대자라도, 소수의 수에서의 민감한 추론이 은폐되도록 하면서도 차별적 개인정보 보호 보장을 유지한다.
• 실험 결과, 대규모 수의 쿼리는 높은 정확도로 추정되며, 소수의 쿼리는 상당한 노이즈로 은폐되어 원하는 분류된 유용성을 달성한다.
• 모든 값이 도메인 내에서 허용되므로 보조 지식 공격에 저항력이 있으며, 값 재구성 공격의 위험이 제거된다.