K匿名と濡れ衣

k-匿名化と濡れ衣中川裕志（東京大学)

「世界最先端IT 国家創造宣言について」平成25 年6 月14 日閣議決定（抜粋） • 個人情報やプライバシー保護に配慮したパーソナルデータの利活用のルールを明確化した上で、個人情報保護ガイドラインの見直し、同意取得手続の標準化等の取組を年内できるだけ早期に着手ところが、ショーンベルガー&クキエ等の「ビッグデータの正体」8，9 章によれば、将来サービスの予見は無理である以上、同意取得じゃダメ。サービス提供側に責任を持たせる法体系を提案 • さらに、2014 年以降に、制度見直し方針に示されたロードマップに従って、国際的な連携にも配慮しつつ、順次パーソナルデータ利活用環境を整備し、利活用を推進する。

ところがSuica騒動 • SuicaデータをJR東日本が日立を通して販売しようとして非難ごうごう • 日立のレポートによれば、 – 個人名の匿名化は当然、 – K-匿名性を使ったり、 – 長距離移動データは出さない、 – 仮名を定期的に変更 • などの対策を立てているというが、それが問題の本質的解決か？

匿名化の弱点：link attack • Sweeney [S02a] によれば、Massachussetts州知事の医療記録が公開情報から特定可能 – MA では、収集した医療データを匿名化して公開している（下図）左円内 – 一方、選挙の投票者名簿は公開右円内 • 両者をつきあわせると • 6 人が知事と同じ生年月日うち3 人が男うち1 人が同じzipcode 民族来院日郵便番号診断生年月日処方性別支払額病院記録 • 1990年の the US 1990 census dataによれば選挙人名簿名前登録日政党前回投票履歴 [S02a]より – 87% の人が (zipcode, 性別, 生年月日)によって一意特定可能

プライバシ保護データマイニング（PPDM) • 閣議決定「個人情報やプライバシー保護に配慮した, 個人情報保護ガイドラインの見直し」の方策として匿名化がまず考えられる • Link attackの例でも分るように、個人名の匿名化だけではsenstiveな情報の保護には不十分。 •  k-匿名化（k人以上が同じ疑似ID:誕生日、性別、 ZIP) ２－匿名化誕生日性別 Zipcode 誕生日性別 Zipcode 21/1/79 男 53715 */1/79 人 5**** 10/1/79 女 55410 */1/79 人 5**** 1/10/44 女 90210 女 90210 21/2/83 男 02274 */*/8* 男 022** 19/4/82 男 02237 */*/8* 男 022** group 1 suppressed 1/10/44 group 2

ところが事態はそう簡単ではない名前年齢性別住所 N月M日P時の所在一郎 35 男文京区本郷XX K消費者金融店舗次郎 30 男文京区湯島YY T大学三子 33 男文京区弥生ZZ T大学四郎 39 男文京区千駄木WW ４-匿名化 Y病院名前（匿名化）年齢性別住所 N月M日P時の所在一郎 30代男文京区 K消費者金融店舗次郎 30代男文京区 T大学三子 30代男文京区 T大学四郎 30代男文京区 Y病院次郎、三子、四郎も一郎と区別出来なくなった結果、4人ともK消費者金融店舗に居たことを疑われるＫ-匿名化が誘発する濡れ衣現象

Ｌ-多様性を導入するともっと面倒なことになる名前（匿名化）年齢性別住所 N月M日P時の所在一郎 30代男文京区 K消費者金融店舗次郎 30代男文京区 K消費者金融店舗三子 30代男文京区 K消費者金融店舗四郎 30代男文京区 K消費者金融店舗個人を入れ替えて２-多様化これでは4人とも消費者金融に居たことが露呈名前（匿名化）年齢性別住所 N月M日P時の所在一郎 30代男文京区 K消費者金融店舗研次郎 30代男文京区 K消費者金融店舗研三子 30代男文京区 K消費者金融店舗研四郎 30代男文京区Ｔ大学研四郎もＫ消費者金融に居たのではないかと疑われる Ｌ-多様化が誘発する濡れ衣現象

滞在場所のk-匿名化が濡れ衣の被害を誘発してしまう K-匿名化の領域：内部にK人いる消費者金融ショップ

滞在場所のk-匿名化が濡れ衣の被害を誘発してしまう K-匿名化の領域：内部にK人いるこの就活中の学生さんは K-匿名化領域内にいるので、消費者金融に出入りしたことを疑われ、不利なことに。。。濡れ衣消費者金融ショップ

濡れ衣とは心理現象その１ • 以上の問題的を数理モデル化するためには濡れ衣を数理モデル化する必要あり – ドラッグ、病院、犯罪、浮気などの対象の問題によって濡れ衣の酷さの度合いは異なるだろう。 – さらに濡れ衣被害は就活中、婚活中、などにも依存。 – これらは個々に数値化できないので、個人iが対象の問題Sで疑われた場合の被害額を抽象的にB 𝑖, 𝑆 と書く。 • ただし、芸能人や政治家など高い個別性がある個人であることを意識しなくてよい一般人の場合は𝐵 𝑆 とする。

濡れ衣とは心理現象その２ • 匿名化されて同一グループに入った k人中、濡れ衣の対象になる怪しいこと（例えば、消費者金融ショップに居た）Sに実際当てはまった人数をs(>0)とする。このようなグループの状況を情報文脈 C とする。 • 濡れ衣にあう確率:p(s,k)=1-s/k • ただし、この匿名化されたデータを見た人が Sに疑いを持つ主観確率をp 𝑠𝑢𝑏

濡れ衣とは心理現象その３ –ドラッグ売買横行エリアに1000人おり、そのうち2名が実際ドラッグ売買をしていると、そのエリアに居ただけでは残り 998人のあまり深刻には疑わないだろう –100人中30人がドラッグ売買をしていたら、残り70人は相当疑われるだろう

𝑝 𝑠𝑢𝑏 想定被害第3者がSを疑う 1 主観確率第3者から見た想定被害の期待値第3者からみた予防の費用の期待値 0 この部分になれば濡れ衣を被る確率は小さい 𝑝 𝑆, 𝑘 1 この部分になると濡れ衣を被る確率は大きい

第3者から見た想定被害/予防費用の期待値の例 就職活動における採用企業の場合 想定被害＝素行の良くない人を採用したときの会社がうける被害 予防費用＝実際は良い人材を採用し損なう損失 インフルエンザにかかる可能性のある人 想定被害＝高熱が出たりして、数日、会社を休む 予防費用＝2，3時間使って医者に行き、3000円くらいで予防接種を受ける

𝑝 𝑠𝑢𝑏 想定被害第3者がSを疑う主観確率1 第3者から見た想定被害の期待値第3者から見た予防の費用の期待値 0 この部分になれば濡れ衣を被る確率は小さい 𝑝 𝑆, 𝑘 1 この部分になると濡れ衣を被る確率は大きい

問題建物のm-分割が濡れ衣の被害を軽減 K-匿名化の領域を 4分割消費者金融ショップ

𝑝 𝑠𝑢𝑏 想定被害 1 Sを疑う主観的確率想定被害の期待値予防の費用の期待値 𝑝 𝑆, 𝑘 0 1  問題事象Sの建物などをm分割した場合  Ｓの人数が 𝑠 → 𝑠 𝑚 と置き換える。  事象Sを疑う主観的確率 𝑝 𝑠𝑢𝑏 が  𝑠→ 𝑠 𝑚 により、非常に小さくなり、濡れ衣が生じにくくなる。

今後の課題：全領域における位置情報を用いる場合の対処方法 • ここまでの最適化問題はｋ人のグループを同等に扱っている • 隣接する領域を考慮して最適化する必要 問題自体は全データに対してトップダウンに解くと計算量は莫大 大規模データに対しては、問題になる建物を分割して、それぞれの領域を広げていくボトムアップなｋー匿名化領域の形成手法がよさそう。 これらの領域の構造を変化させて解く最適化問題の近似解法アルゴリズムの開発は今後の課題

伝えたかったことはこれでおしまいもう少しややこしい数理モデルはこのＵＲＬの論文を参照していただけるとありがたいです。

https://twitter.com	31
https://www.facebook.com	16
https://m.facebook.com&_=1394026627516 HTTP	1
https://m.facebook.com&_=1394017892806 HTTP	1
https://m.facebook.com&_=1394017842294 HTTP	1
https://m.facebook.com&_=1394017861111 HTTP	1
https://m.facebook.com&_=1394017856634 HTTP	1
https://m.facebook.com&_=1394017846761 HTTP	1
https://m.facebook.com&_=1394017843469 HTTP	1
https://m.facebook.com&_=1394017838732 HTTP	1
https://m.facebook.com&_=1394010564679 HTTP	1
https://m.facebook.com&_=1394000476014 HTTP	1
https://m.facebook.com&_=1393998937764 HTTP	1
https://m.facebook.com&_=1394076613323 HTTP	1

K匿名と濡れ衣

by Hiroshi Nakagawa on Mar 05, 2014

Statistics

Views

Actions

14 Embeds 59

Accessibility

Categories

Upload Details

Usage Rights

Report content

K匿名と濡れ衣 Presentation Transcript