개인정보 비식별 기법

Private Data Anonymization

일반적 기법

• 가명처리(Pseudonymization)
  • 암호화(Encrypt)
  • 휴리스틱 가명화(Heuristic Pseudonymization)
• 총계처리 (Aggregation)
  • 전체 총계처리
  • 부분총계(Micro Aggregation)
  • 라운딩(Rounding)
• 데이터 삭제(Data Reduction)
  • 식별자 삭제
  • 식별자 부분삭제
  • 레코드 삭제
• 범주화(Data Suppression)
  • 감추기
  • 범위 적용(Data Range)
• 마스킹(Data Masking)
  • 임의 잡음 추가(Adding Random Noise)
  • 공백(blank)과 대체(impute)

프라이버시 보호 모델

통계적 보호 모델

• k-익명성
• l-다양성
• t-근접성

보호 모델별 조건

비식별 조치를 한 뒤 재식별 위험이 충분히 낮은지 판단할 때 쓰는 모델들이다. 앞의 모델이 막지 못하는 공격을 뒤의 모델이 보완하는 관계다.

모델	조건	막으려는 공격
k-익명성	준식별자(식별에 쓰일 수 있는 속성) 값이 같은 레코드가 적어도 k 개 이상 존재해야 한다	다른 데이터와 결합해 개인을 찾아내는 연결 공격
l-다양성	준식별자가 같은 묶음(동질 집합) 안에 서로 다른 민감정보가 적어도 l 개 있어야 한다	k-익명성의 약점인 동질성 공격, 배경지식 공격
t-근접성	동질 집합의 민감정보 분포와 전체 데이터의 민감정보 분포 차이가 t 이하여야 한다	l-다양성의 약점인 쏠림 공격, 유사성 공격
m-유일성	원본 데이터와 같은 속성값 조합이 비식별 결과 데이터에 최소 m 개 존재해야 한다	특정 값의 조합이 유일해서 생기는 재식별 위험

• t-근접성은 분포를 전체와 가깝게(t 이하로) 만드는 조건이다. "전체 분포와 t 이상 차이를 보이도록 한다" 는 정반대라 틀리다.
• k·l·m 은 "몇 개 이상 있어야 하는가"(하한)를 정하고, t 는 "얼마 이상 달라서는 안 되는가"(상한)를 정한다.

자세한 기준은 개인정보 비식별 조치 가이드라인을 참고한다. 이 가이드라인은 데이터 3법 개정으로 폐지되었고, 지금은 가명처리 중심으로 운영된다.