K匿名と濡れ衣
•
25 recomendaciones•8,015 vistas
個人情報保護のキーになる技術として注目されているk-匿名化が、実は困った事柄に関係ない人に疑いをかけてしまう濡れ衣を誘発します。その背景と仕組みを探ってみました。
Recomendados
Más contenido relacionado
La actualidad más candente
La actualidad más candente (9)
Destacado
Similar a K匿名と濡れ衣
Similar a K匿名と濡れ衣 (20)
Más de Hiroshi Nakagawa
Más de Hiroshi Nakagawa (20)
K匿名と濡れ衣
- 2. 「世界最先端IT 国家創造宣言について」 平成25 年6 月14 日閣議決定（抜粋） • 個人情報やプライバシー保護に配慮したパーソナルデータの利 活用のルールを明確化した上で、個人情報保護ガイドラインの 見直し、同意取得手続の標準化等の取組を年内できるだけ早 期に着手 ところが、ショーンベルガー&クキエ等の「ビッグデータの正体」8，9 章によれば、将来サービスの予見は無理である以上、同意取得 じゃダメ。サービス提供側に責任を持たせる法体系を提案 • さらに、2014 年以降に、制度見直し方針に示されたロードマップ に従って、国際的な連携にも配慮しつつ、順次パーソナルデー タ利活用環境を整備し、利活用を推進する。
- 3. ところがSuica騒動 • SuicaデータをJR東日本が日立を通して販売し ようとして非難ごうごう • 日立のレポートによれば、 – 個人名の匿名化は当然、 – K-匿名性を使ったり、 – 長距離移動データは出さない、 – 仮名を定期的に変更 • などの対策を立てているというが、それが問 題の本質的解決か？
- 4. 匿名化の弱点：link attack • Sweeney [S02a] によれば、Massachussetts州知事の医 療記録が公開情報から特定可能 – MA では、収集した医療データを匿名化して公開している （下図） 左円内 – 一方、選挙の投票者名簿は公開 右円内 • 両者をつきあわせると • 6 人が知事と同じ生年月日 うち3 人が男 うち1 人が同じzipcode 民族 来院日 郵便番号 診断 生年月日 処方 性別 支払額 病院記録 • 1990年の the US 1990 census dataによれば 選挙人名簿 名前 登録日 政党 前回投票履歴 [S02a]より – 87% の人が (zipcode, 性別, 生年月日)によって一意特定可能
- 5. プライバシ保護データマイニング（PPDM) • 閣議決定「個人情報やプライバシー保護に配慮した, 個人情報保護ガイドラインの見直し」の方策として匿 名化がまず考えられる • Link attackの例でも分るように、個人名の匿名化だけ ではsenstiveな情報の保護には不十分。 • k-匿名化（k人以上が同じ疑似ID:誕生日、性別、 ZIP) ２－匿名化 誕生日 性別 Zipcode 誕生日 性別 Zipcode 21/1/79 男 53715 */1/79 人 5**** 10/1/79 女 55410 */1/79 人 5**** 1/10/44 女 90210 女 90210 21/2/83 男 02274 */*/8* 男 022** 19/4/82 男 02237 */*/8* 男 022** group 1 suppressed 1/10/44 group 2
- 10. 濡れ衣とは心理現象 その１ • 以上の問題的を数理モデル化するためには濡 れ衣を数理モデル化する必要あり – ドラッグ、病院、犯罪、浮気などの対象の問題によっ て濡れ衣の酷さの度合いは異なるだろう。 – さらに濡れ衣被害は就活中、婚活中、などにも依存。 – これらは個々に数値化できないので、個人iが対象の 問題Sで疑われた場合の被害額を抽象的にB 𝑖, 𝑆 と 書く。 • ただし、芸能人や政治家など高い個別性がある個人である ことを意識しなくてよい一般人の場合は𝐵 𝑆 とする。
- 11. 濡れ衣とは心理現象 その２ • 匿名化されて同一グループに入った k人中、 濡れ衣の対象になる怪しいこと（例えば、消 費者金融ショップに居た）Sに実際当てはまっ た人数をs(>0)とする。このようなグループの 状況を情報文脈 C とする。 • 濡れ衣にあう確率:p(s,k)=1-s/k • ただし、この匿名化されたデータを見た人が Sに疑いを持つ主観確率をp 𝑠𝑢𝑏
- 13. 𝑝 𝑠𝑢𝑏 想定被害 第3者がSを疑う 1 主観確率 第3者から見た想 定被害の期待値 第3者からみた予 防の費用の期待値 0 この部分になれば濡れ衣 を被る確率は小さい 𝑝 𝑆, 𝑘 1 この部分になると濡れ衣を 被る確率は大きい
- 15. 𝑝 𝑠𝑢𝑏 想定被害 第3者がSを疑う 主観確率1 第3者から見た想 定被害の期待値 第3者から見た予 防の費用の期待値 0 この部分になれば濡れ衣 を被る確率は小さい 𝑝 𝑆, 𝑘 1 この部分になると濡れ衣を 被る確率は大きい
- 17. 𝑝 𝑠𝑢𝑏 想定被害 1 Sを疑う 主観的確率 想定被害の期待値 予防の費用の期待 値 𝑝 𝑆, 𝑘 0 1 問題事象Sの建物などをm分割した場合 Ｓの人数が 𝑠 → 𝑠 𝑚 と置き換える。 事象Sを疑う主観的確率 𝑝 𝑠𝑢𝑏 が 𝑠→ 𝑠 𝑚 により、非常に小さくなり、濡れ衣が生じにくくなる。