[論文レビュー] The Boundary Between Privacy and Utility in Data Anonymization

Vibhor Rastogi, Dan Suciu+1 more|ArXiv.org|Dec 21, 2006

Privacy-Preserving Technologies in Data参考文献 11被引用数 3

ひとこと要約

本稿は、データ公開におけるプライバシーと有効性のトレードオフを形式的に定式化する、新しい匿名化フレームワークを提案する。ランダムな削除と挿入に基づくアルゴリズムを提案し、プライバシー（ǫ-区別不能性によって）と意味のある有効性（k-意味的意味性によって）の両方を達成する。また、タプルの事前確率が O(n/m) の場合、有用かつプライベートな匿名化が可能であるが、Ω(n/√m) の場合、不可能であることを証明する。

ABSTRACT

We consider the privacy problem in data publishing: given a relation I containing sensitive information 'anonymize' it to obtain a view V such that, on one hand attackers cannot learn any sensitive information from V, and on the other hand legitimate users can use V to compute useful statistics on I. These are conflicting goals. We use a definition of privacy that is derived from existing ones in the literature, which relates the a priori probability of a given tuple t, Pr(t), with the a posteriori probability, Pr(t | V), and propose a novel and quite practical definition for utility. Our main result is the following. Denoting n the size of I and m the size of the domain from which I was drawn (i.e. n < m) then: when the a priori probability is Pr(t) = Omega(n/sqrt(m)) for some t, there exists no useful anonymization algorithm, while when Pr(t) = O(n/m) for all tuples t, then we give a concrete anonymization algorithm that is both private and useful. Our algorithm is quite different from the k-anonymization algorithm studied intensively in the literature, and is based on random deletions and insertions to I.

研究の動機と目的

• データ匿名化におけるプライバシーと有効性のトレードオフを形式化すること。
• 統計クエリを正確に回答できる能力を捉える新しい有効性指標「k-意味的意味性」を定義すること。
• プライベートかつ有用な匿名化が理論的に可能または不可能となる条件を同定すること。
• k-匿名性とは異なる、ランダムなタプル挿入・削除に基づく新しい匿名化アルゴリズムを提案すること。
• 事前タプル確率に基づいた匿名化の可能性に関するタイトな理論的境界を確立すること。

提案手法

• k-意味的意味性と呼ばれる新しい有効性定義を提案。これは、少数のタプルが異なる2つのデータベースインスタンス間でのクエリ結果の統計的区別不能性を測定する。
• 集合 D′ における ǫ-区別不能性に基づくプライバシー定義を導入。標準的な ǫ-区別不能性を緩和し、実用的な攻撃者モデルを許容する。
• ランダムなタプルの削除と挿入を実行することで、データを摂動させつつ統計的有効性を保持する、画期的な匿名化アルゴリズムを開発する。
• バケット化仮定を用いて、匿名化されたデータグループの形成をモデル化し、匿名化ビュー間での構造的一致性を保証する。
• 有効性損失と漏洩の度合いを測定するために、クエリ結果分布間の統計的距離（SD）を適用する。
• 背理法に基づく証明戦略を採用：有効性が保持される（k-意味的意味性）場合、事前確率が有界である限り、特定の攻撃者モデル下ではプライバシーが保証できないことを示す。

実験結果

リサーチクエスチョン

• RQ1 どのような条件下で、データ匿名化においてプライバシーと有効性の両立が理論的に不可能となるか？
• RQ2 攻撃者の背景知識、特にタプルの事前確率が匿名化の可能性にどのように影響を与えるか？
• RQ3 k-匿名性を上回る有効性を達成しつつ、強いプライバシー保証を維持できる新しい匿名化手法は存在するか？
• RQ4 ドメインサイズ（m）、データベースサイズ（n）と匿名化の可能性との間の正確な関係は何か？
• RQ5 単純なランダム挿入／削除メカニズムが、形式的定義に基づいてプライバシーと有効性の両方を達成できるか？

主な発見

• タプルの事前確率が Ω(n/√m) の場合、いかなる匿名化アルゴリズムもプライベートかつ有用であることは不可能であり、可能性の根本的な下限を確立する。
• すべてのタプルの事前確率が O(n/m) の場合、プライベートかつ有用な匿名化アルゴリズムが存在することを示し、可能性のタイトな上限を証明する。
• 提案されたランダムな削除・挿入アルゴリズムは、O(n/m) 条件下で ǫ-区別不能性と k-意味的意味性の両方を達成し、実用的な解決策を提供する。
• 実験的評価では、データサイズが最大10倍に増加したが、これは有効性の維持に対して許容可能であると評価された。
• 本稿は、d-排他的攻撃者を想定する場合、k-意味的意味性を持つアルゴリズム（意味的有効性を示す）は、事前確率が Ω(n/√m) を超えるとプライバシーと両立しないことを証明した。
• 理論的結果から、事前確率の選択が極めて重要であることが示された：特定のタプルが事前にあまりにも確率が高い場合、どの匿名化手法を用いてもプライバシーは保証できない。