[論文レビュー] Connecting Randomized Response, Post-Randomization, Differential Privacy and t-Closeness via Deniability and Permutation

Josep Domingo‐Ferrer, Jordi Soria-Comas|arXiv (Cornell University)|Mar 6, 2018

Privacy-Preserving Technologies in Data参考文献 10被引用数 5

ひとこと要約

この論文は、否定不能性と置換の統一的原則を通じて、ランダム化応答、後方ランダム化（PRAM）、微分プライバシー、および t-クローズネスといった主要なプライバシーモデルの間の深い理論的関係を確立する。これらのモデルは、置換に基づく匿名化フレームワークの変種として理解でき、置換距離メトリクスとべき乗平均を用いた統一的キャリブレーションにより、プライバシーと有効性のトレードオフを統合的に制御可能である。

ABSTRACT

We explore some novel connections between the main privacy models in use and we recall a few known ones. We show these models to be more related than commonly understood, around two main principles: deniability and permutation. In particular, randomized response turns out to be very modern in spite of it having been introduced over 50 years ago: it is a local anonymization method and it allows understanding the protection offered by $ε$-differential privacy when $ε$ is increased to improve utility. A similar understanding on the effect of large $ε$ in terms of deniability is obtained from the connection between $ε$-differential privacy and t-closeness. Finally, the post-randomization method (PRAM) is shown to be viewable as permutation and to be connected with randomized response and differential privacy. Since the latter is also connected with t-closeness, it follows that the permutation principle can explain the guarantees offered by all those models. Thus, calibrating permutation is very relevant in anonymization, and we conclude by sketching two ways of doing it.

研究の動機と目的

• ランダム化応答、PRAM、微分プライバシー、t-クローズネスといった主要な微分プライバシー・モデルの間で、これまで認識されていなかった理論的関係を明らかにすること。
• まともな否定不能性と置換の観点からこれらのモデルを再解釈し、それらが共通の基盤的メカニズムを有することを示すこと。
• 置換距離の測定と漏洩リスク・情報損失の評価を通じて、匿名化パラメータを統一的にキャリブレートするフレームワークを提供すること。
• 実世界のデータ公開におけるプライバシーと有効性のバランスを図るための実用的キャリブレーション手法を、べき乗平均を用いて提示すること。
• 微分プライバシーにおけるεの増加が否定不能性を通じて理解可能であり、t-クローズネスが大ε保護を評価するための代理指標として機能できることを示すこと。

提案手法

• ベイズ推論と条件付きエントロピーを用いて、ランダム化応答におけるまともな否定不能性を形式化し、各報告値 Y=v に対して H(X|Y=v) で測定する。
• PRAMを置換に基づく匿名化手法として再解釈し、各データ値がランダムな置換を通じてリンクの特定を困難にするようにマッピングされることを示す。
• 情報理論的否定不能性分析を適用して、ε-微分プライバシーとt-クローズネスを結びつけ、大ε値がt-クローズネス指標を用いて保護の程度を評価可能であることを示す。
• 個々の置換距離を統合するためのべき乗平均集約（J((p₁,…,pₙ),α)）を導入し、漏洩リスクまたは情報損失の単一指標としての測定を可能にする。
• αを調整することで匿名化をキャリブレートする：α < 1 はリスク回避（小さな距離に重みを置く）、α > 1 は情報損失回避（大きな距離に重みを置く）。
• 2つのキャリブレーション戦略を提案する：1つは調整可能なαを有するべき乗平均に基づくもの、もう1つは置換距離分布を用いて匿名化パラメータを設定するもの。

実験結果

リサーチクエスチョン

• RQ1 否定不能性と置換の原則を通じて、ランダム化応答、PRAM、微分プライバシー、t-クローズネスはどのように関連しているか？
• RQ2 ランダム化応答におけるまともな否定不能性は、どの程度定量的に測定可能であり、他のモデルのプライバシー保証の評価に利用可能か？
• RQ3 t-クローズネスは、大εの微分プライバシーが十分な保護を提供しているかどうかを評価するための代理指標として機能できるか？
• RQ4 置換距離は、異なるプライバシーモデル間で匿名化をキャリブレートする統一的メトリクスとしてどのように利用可能か？
• RQ5 異なるαパラメータを有するべき乗平均は、匿名化データにおける漏洩リスクと情報損失のバランスをどのように果たすか？

主な発見

• ランダム化応答は、歴史的かつ一時的な手法ではなく、否定不能性の原則を体現する基盤的ローカル匿名化技術である。
• 大ε値におけるε-微分プライバシーのプライバシー保証は、否定不能性の観点から解釈可能であり、εの増加がまともな否定不能性を強化することを示している。
• t-クローズネスは、大εの微分プライバシーが十分な保護を提供しているかどうかを評価する意味のある手段を提供する。特に否定不能性分析と組み合わせると有効である。
• PRAMは形式的に置換に基づく匿名化メカニズムとして再解釈可能であり、これにより広範な置換パラダイムと直接的に結びつけることができる。
• べき乗平均集約関数 J((p₁,…,pₙ),α) は、漏洩リスク（α < 1）と情報損失（α > 1）の両方を効果的に測定可能であり、キャリブレート可能な匿名化を可能にする。
• 置換距離とべき乗平均を用いた匿名化のキャリブレーションにより、実務家は多様なモデル間で一貫してプライバシーと有効性のバランスをとることが可能になる。