JP7219726B2

JP7219726B2 - リスク評価装置、リスク評価方法及びリスク評価プログラム

Info

Publication number: JP7219726B2
Application number: JP2020002099A
Authority: JP
Inventors: 知明三本; 晋作清本
Original assignee: KDDI Corp
Current assignee: KDDI Corp
Priority date: 2020-01-09
Filing date: 2020-01-09
Publication date: 2023-02-08
Anticipated expiration: 2040-01-09
Also published as: JP2021111085A

Description

本発明は、匿名化されたデータセットのリスクを評価する装置、方法及びプログラムに関する。

従来、プライバシ保護の観点から、データセットを匿名化するための様々なアルゴリズムが提案されている。例えば、非特許文献１及び２では、対象のデータセットにおけるデータの分布に基づいて機械的に匿名化を行う手法が提案されている。
また、非特許文献１及び３では、匿名化の対象である準識別子だけでなく、機微情報に関してプライバシリスクを考慮するため、ｌ－多様性の指標が紹介されている。

Ｖ．Ｃｉｒｉａｎｉ，Ｓ．ＤｅＣａｐｉｔａｎｉｄｉＶｉｍｅｒｃａｔｉ，Ｓ．Ｆｏｒｅｓｔｉ，ａｎｄＰ．Ｓａｍａｒａｔｉ， "ｋ－Ａｎｏｎｙｍｏｕｓｄａｔａｍｉｎｉｎｇ：Ａｓｕｒｖｅｙ，" Ｐｒｉｖａｃｙ－ｐｒｅｓｅｒｖｉｎｇｄａｔａｍｉｎｉｎｇ，ｐｐ．１０５－１３６，２００８，Ｓｐｒｉｎｇｅｒ．Ｌ．Ｓｗｅｅｎｅｙ， "Ａｃｈｉｅｖｉｎｇｋ－ａｎｏｎｙｍｉｔｙｐｒｉｖａｃｙｐｒｏｔｅｃｔｉｏｎｕｓｉｎｇｇｅｎｅｒａｌｉｚａｔｉｏｎａｎｄｓｕｐｐｒｅｓｓｉｏｎ，" ＩｎｔｅｒｎａｔｉｏｎａｌＪｏｕｒｎａｌｏｆＵｎｃｅｒｔａｉｎｔｙ，ＦｕｚｚｉｎｅｓｓａｎｄＫｎｏｗｌｅｄｇｅ－ＢａｓｅｄＳｙｓｔｅｍｓ，１０，０５，ｐｐ．５７１－５８８，２００２，ＷｏｒｌｄＳｃｉｅｎｔｉｆｉｃ．ＣｈａｒｕＣ．Ａｇｇａｒｗａｌ，ＰｈｉｌｉｐＳ．Ｙｕ， "Ａｇｅｎｅｒａｌｓｕｒｖｅｙｏｆｐｒｉｖａｃｙ－ｐｒｅｓｅｒｖｉｎｇｄａｔａｍｉｎｉｎｇｍｏｄｅｌｓａｎｄａｌｇｏｒｉｔｈｍｓ，" Ｐｒｉｖａｃｙ－ｐｒｅｓｅｒｖｉｎｇｄａｔａｍｉｎｉｎｇ，ｐｐ．１１－５２，２００８，Ｓｐｒｉｎｇｅｒ．

しかしながら、従来のリスク評価手法は、準識別子の重複度（ｋ－匿名性）又は機微情報のばらつき（ｌ－多様性）等、特定の属性の分布に基づくものであった。このため、複数の属性を組み合わせた際の機微情報に対するプライバシリスクは、十分に考慮されていなかった。

本発明は、匿名化されたデータセットのプライバシリスクを詳細に評価できるリスク評価装置、リスク評価方法及びリスク評価プログラムを提供することを目的とする。

本発明に係るリスク評価装置は、準識別子の属性値が匿名化されたデータセットのプライバシリスクを評価する装置であって、前記データセットから、前記準識別子のいずれかの属性値と当該準識別子以外の機微情報のいずれかの属性値との組み合わせが同一であるレコードの数が閾値未満のレコードを検索する第１検索部と、前記第１検索部により検索されたレコードにおける属性値の前記組み合わせをリスクとして出力する出力部と、を備える。

前記データセットは、前記機微情報を用いた評価指標により匿名化されたものであってもよい。

前記リスク評価装置は、属性値の前記組み合わせを総当たりで選択する選択部を備えてもよい。

前記選択部は、前記データセットの各属性に予め付与された前記準識別子と前記機微情報とを区別するフラグによって、各フラグ値が付与された属性からそれぞれ属性値を選択してもよい。

前記リスク評価装置は、前記機微情報における外れ値を検索する第２検索部を備え、前記出力部は、前記外れ値をリスクとして出力してもよい。

前記リスク評価装置は、前記リスクとして出力された前記機微情報における属性値を加工する加工部を備えてもよい。

本発明に係るリスク評価方法は、準識別子の属性値が匿名化されたデータセットのプライバシリスクを評価する方法であって、前記データセットから、前記準識別子のいずれかの属性値と当該準識別子以外の機微情報のいずれかの属性値との組み合わせが同一であるレコードの数が閾値未満のレコードを検索する第１検索ステップと、前記第１検索ステップにおいて検索されたレコードにおける属性値の前記組み合わせをリスクとして出力する出力ステップと、をコンピュータが実行する。

本発明に係るリスク評価プログラムは、前記リスク評価装置としてコンピュータを機能させるためのものである。

本発明によれば、匿名化されたデータセットのプライバシリスクを詳細に評価できる。

実施形態におけるリスク評価装置の機能構成を示す図である。実施形態におけるデータセットの属性及びフラグを例示する図である。実施形態における匿名化されたデータセットを例示する図である。実施形態におけるリスク評価装置における処理を示すフローチャートである。

以下、本発明の実施形態の一例について説明する。
図１は、本実施形態におけるリスク評価装置１の機能構成を示す図である。
リスク評価装置１は、サーバ又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１０及び記憶部２０の他、各種データの入出力デバイス及び通信デバイス等を備える。

制御部１０は、リスク評価装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各機能を実現する。制御部１０は、ＣＰＵであってよい。

記憶部２０は、ハードウェア群をリスク評価装置１として機能させるための各種プログラム、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスク（ＨＤＤ）等であってよい。具体的には、記憶部２０は、本実施形態の各機能を制御部１０に実行させるためのプログラム（リスク評価プログラム）、評価対象のデータセット等を記憶する。

制御部１０は、選択部１１と、第１検索部１２と、第２検索部１３と、出力部１４と、加工部１５とを備える。
制御部１０は、これらの機能部により、匿名化されたデータセットのプライバシリスクを評価する。

ここで、データセットは、複数の属性のうち、第三者が入手可能で組み合わせると個人を特定できる情報である準識別子の属性値を汎化することで、準識別子以外の第三者が容易に入手できない情報である機微情報が個人と紐付けられるプライバシリスクが低減される。
このような加工により匿名化されたデータセットは、実際に提供される前に、リスク評価が行われ、その結果に応じて、必要であれば再加工が行われる。

図２は、本実施形態におけるデータセットの属性及びフラグを例示する図である。
この例では、対象のデータセットには、量的属性である年齢及び口座残高、質的属性である性別、コード型属性である郵便番号、複数のデータを含む集合型属性である病歴が含まれる。
また、各属性には、準識別子であることを示す評価対象フラグ（１）、又は機微情報であることを示す非評価対象フラグ（０）が付与されている。

制御部１０は、評価対象フラグ（１）が立っている準識別子の属性値、又は属性値を符号化した値を結合して文字列検索を行い、データセットのレコードをクラスタ化する。制御部１０は、各クラスタのレコード数、すなわち重複数をカウントし、この最小値によりｋ－匿名性を評価できる。
また、制御部１０は、各クラスタ内で、非評価対象である機微情報の重複数をカウントすることにより、ｌ－多様性を評価できる。

図３は、本実施形態における匿名化されたデータセットを例示する図である。
ここでは、図２の属性を含むデータセットのうち、評価対象フラグ（１）が立っている準識別子の属性値が汎化され匿名化されている。

また、管理情報として、クラスタ番号、クラスタの大きさである重複数（１）、及びクラスタ内での機微情報の重複数（０）が設けられている。
例えば、クラスタ番号１は、文字列「２０代｜Ｆ｜１２３－４５６７」により検索されたレコードであり、仮ＩＤが００１及び００２のレコードが該当する。したがって、重複数（１）は２となり、それぞれ機微情報が異なるため、重複数（０）は１となる。

選択部１１は、データセットから、準識別子のいずれかの属性値と、機微情報のいずれかの属性値との組み合わせを総当たりで順に選択する。
このとき、選択部１１は、データセットの各属性に予め付与された準識別子と機微情報とを区別するフラグによって、各フラグ値（評価対象フラグ、又は非評価対象フラグ）が付与された属性からそれぞれ属性値を選択する。

第１検索部１２は、データセットから、選択部１１により選択された属性値の組み合わせが同一であるレコードの数（重複数）が閾値未満となっているレコードを検索する。
例えば、図３のデータセットにおいて、年齢「２０代」及び病歴「ガン」の組み合わせが希少である場合、攻撃者に大きな情報を与えることになるため、このレコード（仮ＩＤ＝００２）の該当の属性について、プライバシリスクが高いと判断される。

第２検索部１３は、非評価対象フラグ（０）が立っている機微情報における外れ値を検索する。
例えば、図３のデータセットにおいて、機微情報の属性値のみで検索した結果、口座残高「１億円」が外れ値として存在している。他人がいくら所有しているかは通常は知り得ない情報であるが、数少ない大金持ちであることは予想が付くことから、機微情報であっても公開することには大きなリスクがある。

出力部１４は、第１検索部により検索されたレコードにおける属性値の組み合わせと、第２検索部により検索された外れ値とを、リスクとして出力する。

加工部１５は、リスクとして出力された機微情報における属性値を加工する。
例えば、機微情報における該当の属性値を削除、又はトップ・ボトムコーディング等によって汎化するといった加工が自動で施されてよい。
なお、加工部１５により自動で属性値の加工が施された場合、この結果についても、出力部１４により出力される。また、加工後のデータセットに対して、選択部１１、第１検索部１２及び第２検索部１３により再評価が行われてもよい。

図４は、本実施形態におけるリスク評価装置１における処理を示すフローチャートである。
なお、対象とするデータセットは、評価対象フラグ及び非評価対象フラグにより属性が準識別子及び機微情報に区別され、準識別子を用いて匿名化処理がされたものとする。準識別子を用いた匿名化は、例えば、ｋ－匿名性等を評価指標とした匿名化である。
また、対象とするデータセットは、非評価対象フラグにより区別される機微情報を用いた評価指標により匿名化処理がされてもよい。機微情報を用いた匿名化処理は、例えば、ｌ－多様性等を評価指標とした匿名化である。

ステップＳ１において、選択部１１は、評価対象フラグにより示される準識別子から属性値を１つ、非評価対象フラグにより示される同一レコードの機微情報から属性値を１つ選択する。

ステップＳ２において、第１検索部１２は、ステップＳ１で選択された属性値の組み合わせでデータセットを検索し、属性値の組み合わせが同一のレコード数をカウントする。

ステップＳ３において、第１検索部１２は、レコード数が閾値未満か否かを判定する。この判定がＹＥＳの場合、処理はステップＳ４に移り、判定がＮＯの場合、処理はステップＳ５に移る。

ステップＳ４において、第１検索部１２は、レコード数が閾値未満である属性値の組み合わせを希少な情報として記録する。

ステップＳ５において、選択部１１は、対象のデータセットに含まれる全ての組み合わせを選択したか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ６に移り、判定がＮＯの場合、処理はステップＳ１に移る。

ステップＳ６において、第２検索部１３は、非評価対象フラグにより示される機微情報から、属性を順に選択する。

ステップＳ７において、第２検索部１３は、選択された属性における値の分布に基づいて、所定の基準を超える外れ値を検索し、希少な情報として記録する。

ステップＳ８において、第２検索部１３は、機微情報の全ての属性を選択したか否かを判定する。この判定がＹＥＳの場合、処理はステップＳ９に移り、判定がＮＯの場合、処理はステップＳ６に移る。

ステップＳ９において、出力部１４は、ステップＳ４及びステップＳ７において記録された情報を、所定の基準を超えるプライバシリスクとして出力する。
さらに、出力部１４は、基準を超えるプライバシリスクがある場合に、対象とするデータセットに施した匿名化よりも更に高い匿名化を施す処理をユーザに促す通知を行ってもよい。更に高い匿名化処理とは、例えば、準識別子に対してはｋ－匿名性のｋ値が高くなる処理であり、機微情報に対してはｌ－多様性のｌ値が高くなる処理であるが、高い匿名性が得られる処理であれば、これに限らない。また、このような匿名化処理は、予め設定されたｋ値及びｌ値等のパラメータを用いて自動で実行されてもよい。

本実施形態によれば、リスク評価装置１は、データセットから、準識別子のいずれかの属性値と機微情報のいずれかの属性値との組み合わせが同一であるレコードの数が閾値未満のレコードを検索し、プライバシリスクとして出力する。
したがって、リスク評価装置１は、ｋ－匿名性のような準識別子を対象とした評価、又はｌ－多様性のように機微情報のみを対象とした評価だけでなく、準識別子と機微情報とを組み合わせた場合にプライバシリスクがある属性値を検出できる。これにより、リスク評価装置１は、匿名化されたデータセットのプライバシリスクを詳細に評価できる。

リスク評価装置１は、属性値の組み合わせを総当たりで選択するので、データセットに含まれている、プライバシリスクのある属性値の組み合わせを適切に検出できる。

リスク評価装置１は、データセットの各属性に予め付与されたフラグによって準識別子と機微情報とを区別するので、準識別子による評価、機微情報による評価、及び準識別子と機微情報との組み合わせによる評価を、容易に自動化できる。さらに、属性が変更されたデータセットに対しても、リスク評価装置１は、フラグにより準識別子と機微情報とを区別できるため、アルゴリズムの変更が不要となり、効率的にプライバシリスクを評価できる。

また、リスク評価装置１は、機微情報における外れ値を検索し、プライバシリスクとして出力する。
したがって、リスク評価装置１は、機微情報の属性値自体のプライバシリスクを検出でき、より詳細にデータセットを評価できる。

さらに、リスク評価装置１は、プライバシリスクとして検出された属性値を自動的に加工することにより、プライバシリスクを解消でき、利便性が向上する。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

リスク評価装置１によるリスク評価方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

１リスク評価装置
１０制御部
１１選択部
１２第１検索部
１３第２検索部
１４出力部
１５加工部
２０記憶部

Claims

準識別子の属性値が匿名化されたデータセットのプライバシリスクを評価するリスク評価装置であって、
前記データセットの同一レコードから、前記準識別子のいずれか１つの属性値と当該準識別子以外の機微情報のいずれか１つの属性値との組み合わせを選択する選択部と、
前記選択部により選択された組み合わせで前記データセットを検索し、当該組み合わせが同一であるレコードの数が閾値未満の場合に、当該組み合わせを記録する第１検索部と、
前記第１検索部により記録された属性値の組み合わせをリスクとして出力する出力部と、を備えるリスク評価装置。
前記データセットは、前記機微情報を用いた評価指標により匿名化されたものである請求項１に記載のリスク評価装置。
前記選択部は、属性値の前記組み合わせを総当たりで選択する請求項１又は請求項２に記載のリスク評価装置。
前記選択部は、前記データセットの各属性に予め付与された前記準識別子と前記機微情報とを区別するフラグによって、各フラグ値が付与された属性からそれぞれ属性値を選択する請求項３に記載のリスク評価装置。
前記機微情報における外れ値を検索する第２検索部を備え、
前記出力部は、前記外れ値をリスクとして出力する請求項１から請求項４のいずれかに記載のリスク評価装置。
前記リスクとして出力された前記機微情報における属性値を加工する加工部を備える請求項１から請求項５のいずれかに記載のリスク評価装置。
準識別子の属性値が匿名化されたデータセットのプライバシリスクを評価するリスク評価方法であって、
前記データセットの同一レコードから、前記準識別子のいずれか１つの属性値と当該準識別子以外の機微情報のいずれか１つの属性値との組み合わせを選択する選択ステップと、
前記選択ステップにおいて選択された組み合わせで前記データセットを検索し、当該組み合わせが同一であるレコードの数が閾値未満の場合に、当該組み合わせを記録する第１検索ステップと、
前記第１検索ステップにおいて記録された属性値の組み合わせをリスクとして出力する出力ステップと、をコンピュータが実行するリスク評価方法。
請求項１から請求項６のいずれかに記載のリスク評価装置としてコンピュータを機能させるためのリスク評価プログラム。