[논문 리뷰] The Boundary Between Privacy and Utility in Data Anonymization

Vibhor Rastogi, Dan Suciu외 1명|ArXiv.org|2006. 12. 21.

Privacy-Preserving Technologies in Data참고 문헌 11인용 수 3

한 줄 요약

이 논문은 데이터 공개에서 프라이버시와 유틸리티 사이의 트레이드오프를 체계화하는 새로운 익명화 프레임워크를 제안한다. 무작위 삭제 및 삽입 기반의 알고리즘을 제안하여 ǫ-구분 불가능성에 기반한 강력한 프라이버시와 k-의미 있는 유틸리티를 동시에 달성한다. 먼저, 튜플의 사전 확률이 O(n/m)일 경우에만 유용하고 안전한 익명화가 가능하며, Ω(n/√m)일 경우에는 불가능하다는 것을 증명한다.

ABSTRACT

We consider the privacy problem in data publishing: given a relation I containing sensitive information 'anonymize' it to obtain a view V such that, on one hand attackers cannot learn any sensitive information from V, and on the other hand legitimate users can use V to compute useful statistics on I. These are conflicting goals. We use a definition of privacy that is derived from existing ones in the literature, which relates the a priori probability of a given tuple t, Pr(t), with the a posteriori probability, Pr(t | V), and propose a novel and quite practical definition for utility. Our main result is the following. Denoting n the size of I and m the size of the domain from which I was drawn (i.e. n < m) then: when the a priori probability is Pr(t) = Omega(n/sqrt(m)) for some t, there exists no useful anonymization algorithm, while when Pr(t) = O(n/m) for all tuples t, then we give a concrete anonymization algorithm that is both private and useful. Our algorithm is quite different from the k-anonymization algorithm studied intensively in the literature, and is based on random deletions and insertions to I.

연구 동기 및 목표

• 데이터 익명화에서 프라이버시와 유틸리티 사이의 트레이드오프를 체계화하는 것.
• 통계적 쿼리에 대해 정확하게 응답할 수 있는 능력을 반영하는 새로운 유틸리티 메트릭인 k-의미 있는 값을 정의하는 것.
• 사전적 조건이 충족될 경우에만 프라이버시와 유틸리티를 동시에 확보할 수 있는지 이론적으로 가능하거나 불가능한 조건을 규명하는 것.
• k-아날리시티와는 다름없이 무작위 튜플 삽입 및 삭제 기반의 새로운 익명화 알고리즘을 제안하는 것.
• 사전 튜플 확률에 기반한 익명화의 가능성을 규명하는 엄밀한 이론적 경계를 설정하는 것.

제안 방법

• 무작위로 소수의 튜플이 다를 뿐인 두 데이터베이스 인스턴스 간의 쿼리 결과 통계적 구분 불가능성을 측정하는 k-의미 있는 유틸리티 정의를 제안한다.
• 표준 ǫ-구분 불가능성의 일반화로, 실제 공격자 모델을 고려하기 위해 집합 D′ 상에서 ǫ-구분 불가능성에 기반한 프라이버시 정의를 도입한다.
• 통계적 유틸리티를 유지하면서 데이터를 훼손하는 무작위 튜플 삭제 및 삽입을 수행하는 새로운 익명화 알고리즘을 개발한다.
• 버킷화 가정을 사용하여 익명화된 데이터 그룹의 형성 방식을 모델링하여 익명화된 뷰 간의 구조적 일관성을 확보한다.
• 유용성 손실과 泄露를 정량화하기 위해 쿼리 결과 분포 간의 통계적 거리(SD)를 적용한다.
• 모순 기반 증명 전략을 활용: 만약 유틸리티가 유지된다면(즉, k-의미 있는 경우), 사전 확률가 유한한 경우에만 특정 공격자 모델 하에서 프라이버시 보장이 가능하다는 것을 보여준다.

실험 결과

연구 질문

• RQ1 어떤 조건에서 데이터 익명화에서 프라이버시와 유틸리티를 동시에 확보하는 것이 이론적으로 불가능한가?
• RQ2 특히 튜플의 사전 확률이 공격자의 배경 지식에 어떻게 영향을 주며, 익명화의 가능성을 어떻게 좌우하는가?
• RQ3 기존의 k-아날리시티보다 더 높은 유틸리티를 제공하면서도 강력한 프라이버시 보장을 유지할 수 있는 새로운 익명화 방법이 존재하는가?
• RQ4 도메인 크기(m), 데이터베이스 크기(n)와 익명화의 가능성 사이의 정확한 관계는 무엇인가?
• RQ5 간단한 무작위 삽입/삭제 메커니즘이 공식 정의에 기반해 프라이버시와 유틸리티를 동시에 달성할 수 있는가?

주요 결과

• 튜플의 사전 확률이 Ω(n/√m)일 경우, 어떤 익명화 알고리즘도 프라이버시와 유틸리티를 동시에 확보할 수 없으며, 이는 가능성을 위한 기본 하한선을 설정한다.
• 모든 튜플의 사전 확률이 O(n/m)일 경우, 프라이버시와 유틸리티를 동시에 확보할 수 있는 익명화 알고리즘이 존재함을 증명하여 가능성을 위한 엄밀한 상한선을 제시한다.
• 제안된 무작위 삭제 및 삽입 알고리즘은 O(n/m) 조건 하에서 ǫ-구분 불가능성과 k-의미 있는 값을 모두 달성하며, 실용적인 해결책을 제공한다.
• 실증 평가에서 데이터 크기가 최대 10배까지 증가함을 확인하였으며, 이는 유틸리티 유지 관점에서 수용 가능한 수준으로 간주된다.
• 논문은 k-의미 있는 알고리즘(즉, 의미 있는 유틸리티를 암시)이 d-독립적 공격자 모델 하에서는 사전 확률이 Ω(n/√m)을 초과할 경우 프라이버시와 호환되지 않음을 증명한다.
• 이론적 결과는 사전 확률의 선택이 핵심적임을 보여준다: 일부 튜플이 사전에 너무 높은 확률을 가질 경우, 어떤 익명화 방법을 써도 프라이버시를 보장할 수 없다.