KR101513769B1 - 개인정보 보호를 위한 데이터관리에서 익명성을 보장하는 별명 사용 기법 - Google Patents

Abstract

본 발명은 개인의 신상정보가 포함된 데이터를 외부에 제공할 때, 개인의 사생활 정보 유출을 피하기 위해, 사용자의 실명 대신에 별명을 사용하면서, 개인식별에 사용될 수 있는 민감속성값들을 일반화시켜 특정 개인을 특정하기 어렵게 하여 익명성을 보장하는 방법에 관한 것이다. 개인의 실명과 별명을 연관시키는 데이터는 안전한 서버에서 관리하도록 하고, 별명을 통해 접근되고, 민감속성값은 일반화시켜 가공하고 기타 속성값을 관리하는 서버를 통해서 정보를 외부에 제공한다. 특정 개인에 대한 레코드의 검색이 수행되고 나면, 별명을 통한 개인 식별이 발생하기 때문에, 별명을 새로이 부여하게 된다. 이때 해당 레코드의 별명만 수정되면, 이전 정보를 참고하여 별명이 바뀐 것을 추적하여 개인의 식별이 가능하게 된다. 본 발명은 별명을 수정할 때, 민감속성 정보를 공유하는 모든 개인에 대한 레코드의 별명을 수정하여 익명성을 보장하면서 개인의 레코드에 접근할 수 있도록 한다.

Description

개인정보 보호를 위한 데이터관리에서 익명성을 보장하는 별명 사용 기법{Pseudonym-based method to guarantee anonymity in privacy data management}

본 발명은 개인정보 보호를 위한 데이터 관리에서 익명성을 보장하는 별명사용 방법에 관한 것으로, 보다 상세하게는 개인정보에 대한 데이터 레코드를 외부에서 제공하는 경우에 개인 레코드별로 접근할 수 있도록 하면서 개인의 신분을 노출시키지 않기 위해 별명을 사용하는 방법에 관한 것이다.

개인 레코드에 대한 정보를 접근하기 위해서는 레코드에 대한 식별자가 필요한데, 실명을 직접 사용하면 개인 정보가 직접 노출이 되기 때문에 별명을 사용한다. 실명이 없다고 하더라도, 나이, 성별, 주소 등의 속성 정보는 조합되어 개인을 식별할 수 도 있다. 본 발명에서는 편의상 이들 속성정보을 민감속성(sensitive attribute)이라고 부른다. 이들 민감속성은, '60세'의 나이는 '노년'으로 변환하는 것과 같이 일반화된 값으로 변환하여, 관리하는 데이터베이스 내에 일정한 개수(k) 이상의 레코드가 동일한 민감속성 값을 갖도록 하여, 데이터베이스 내에서 민감속성값을 통해서 일정 크기 이내의 집단으로 개인을 특정할 수 없도록 한다. 이러한 성질을 정보보호 분야에서는 k-익명성(k-anonymity)라고 한다. 별명을 사용하고 k-익명성을 보장하는 레코드를 제공하는 경우라도, 의료환경에서 같이 개인이 치료를 받기 위해 의료진을 대면하게 되는 상황에서 개인정보를 검색하게 되면, 별명에 대응하는 개인의 신분이 바로 확인이 되어버린다. 이 경우에는 레코드에서 개인의 신분을 숨기기 위해 별명을 바꿀 필요가 있는데, 개인들에 대한 기존 데이터를 가지고 있다면, k-익명성 보장되고 별명을 새로 부여하여도, 신분의 유추가 가능해진다. 즉, 별명이 바뀐 레코드의 k-익명성을 보장하는 속성에 대응하는 명성 집단에 속하는 것들을 확인하면, 별명이 바뀐 하나를 식별할 수 있게 되고 이를 통해 레코드에 대한 개인의 신분을 추적할 수 있다.

본 발명은 의료 데이터와 같이 개인정보가 포함된 데이터를 유통하는데 있어서, 개인정보 유출을 최소화하는 방법으로 k-익명성을 보장하면서 신분 노출을 회피하는 별명 관리기술에 관한 것으로, 정보 보안 기술에 속한다.

기존의 개인정보 보호를 위해 k-익명성을 제공하는 방법은 레코드의 식별을 위한 별명을 사용하는 고려하지 않아서, k-익명성은 보장되지만 개인의 신분을 노출하지 않으면서 개인별 데이터 레코드에는 접근할 수 없다.

이러한 문제점을 해결하고자 특허출원 2007-136398호에서는 유전정보의 개인별 고유특성을 이용하여 비밀키를 생성하고 이를 사용하는 방법을 개시하고 있지만 그 구성은 본 발명과 상이하다.

본 발명은 상기와 같은 필요성에 의해 민감한 개인정보를 포함한 데이터를 유통할 때, 개인의 데이터 레코드에 실명을 사용하지 않으면서 개별적으로 접근할 수 있도록 하면서, 개인정보를 유추할 수 있는 민감속성을 통해서도 일정한 수 이내의 개인을 특정할 수 없도록 하는 익명성을 보장하는데, 레코드에 대한 개인의 신분이 식별되면 별명을 바꾸어서 익명성을 지속적으로 유지하도록 하는 방법을 제공하는데 그 목적이 있다.

사생활 정보와 관련된 민감한 개인정보를 관리하는 방법에 있어서,

실명, 별명, 개인식별에 사용될 수 있는 민감속성 등은 접근이 제한되는 안전한 데이터관리 서버에서 관리하고, 별명에 의한 데이터 레코드 식별, 익명성을 강화한 익명화 속성 및 기타 속성들을 관리하는 서버를 통해서, 특정 개인의 레코드 검색 뿐만 아니라, 익명성이 보장되는 개인정보 제공 서비스를 가능하게 하는 방법을 제공한다.

본 발명은 또한 특정 개인의 레코드에 대한 별명을 바꿀 때, 일반 사용자들이 접근하는 데이터베이스에서 해당 레코드의 익명화 속성들과 같은 익명화 속성값을 갖는 모두 레코드들의 별명을 수정하고, 실명-별명-민감속성 정보는 별도의 안전한 서버에서 관리하도록 하여, 특정 개인의 레코드에 접근이 이루진 후에도 익명성을 유지하도록 하는 방법을 제공한다.

본 발명에 의하면 의료ㅇ건강 데이터와 같이 민감한 개인정보를 관리하는 시스템에서 개인의 실명 및 개인식별에 사용될 수 있는 성별, 나이, 주소 등과 같은 민감속성을 일반정보와 함께 관리하면 불법적 접근이나 관리 상의 실수로 개인정보가 침해될 수 있는데, 개인 식별에 사용될 수 있는 정보는 안전한 별도의 서버에서 관리하고, 일반 사용자가 접근하는 서버에서는 별명과 개인 식별이 곤란할 정도로 가공된 익명화 속성 및 일반 속성정보를 제공하도록 하여, 데이터 레코드로부터 개인을 식별할 수 없도록 한다. 특정 개인의 레코드가 검색되고 나면, 해당 개인의 별명이 노출되기 때문에, 별명을 새로 부여해야 하는데, 하나의 레코드의 별명만 바꾸면 쉽게 개인을 식별할 수 있게 되기 때문에, 민감속성을 일반화된 값으로 변환한 익명화 속성 부분을 동일하게 갖는 모든 레코드에 대해서도 별명을 새로 부여하여, 레코드 변경 추적을 통한 사용자 식별을 어렵게 하여, 익명성을 강화하면서 특정 개인에 대한 정보를 검색할 수 있는 데이터관리 시스템을 구현할 수 있게 한다.

도 1은 본 발명에 따른 개인정보 보호를 위한 데이터 관리 시스템을 위한 익명성을 보장하는 별명 사용 방법의 구성요소를 도시한 도면.
도 2는 본 발명에 따른 특정 개인에 대한 레코드의 요청이 있을 때 처리 과정을 도시한 도면.
도 3는 본 발명에 따른 특정 개인에 대한 레코드의 접근이 발생한 후 익명성 보장을 위해 별명을 수정하기 위한 처리 과정을 도시한 도면.

이하에서는 첨부도면을 참조하여 본 발명을 보다 상세히 설명한다.

도 1은 본 발명에 따른 방법의 구성 요소를 표현하는 것으로, 개인정보를 접근하는 단말기인 개인정보 접근 단말기(10), 개인별로 개인의 실명(real-ID), 별명(pseudo-ID), 개인 식별에 사용될 수 있는 성별, 주소, 나이 등 개인식별 민감속성(p-sensitive) 등을 관리하는 실명-별명-민감속성 테이블(30)을 관리하는 개인정보관리 서버(20), 개인식별을 곤란하게 별명, 민감속성의 값들을 익명성을 보장하도록 일반화된 값으로 변환한 익명화 데이터(p-insensitive)로 변환한 것, 여타 속성(others)을 포함하는 익명성보장 데이터 테이블(50)을 관리하면서 개인정보 접근 단말기의 요청에 따라 정보를 제공하는 데이터베이스 관리 서버(40)로 구성된다.

도 2는 본 발명에 따른 특정 개인에 대한 레코드의 요청이 있을 때 과정을 표현한 것이다.

먼저 특정 개인에 대한 정보가 필요한 경우에, 사용자가 개인정보 접근 단말기(10)를 통해서 검색하고자 하는 개인의 실명(real-ID)를 제공하면, 이 정보를 먼저 개인정보관리 서버(20)에 전달하여 요청자가 접근권한이 있다면 해당 개인의 별명을 반환받아서(101), 데이터베이스 관리 서버(40)에 해당 별명의 레코드를 요청하여(102), 검색된 레코드를 결과로 제공한다(103).

도 3은 특정 개인에 대한 검색이 이루어지고 나면, 실명과 별명이 사용자에게 알려지게 되므로, 개인식별을 방지하기 위해 새로운 별명을 부여하는 과정을 보인 것이다.

데이터베이스 관리 서버(40)에서 익명성보장 데이터 테이블(50)로부터 별명을 변경할 레코드를 선택하여(401), 선택된 레코드에서 익명화 속성값들(p-insensitives)을 추출하고(402), 추출된 익명화 속성값들과 동일한 것을 포함한 레코드들을 선택하여(403), 선택된 레코드에서 별명을 추출한다(404). 개인정보관리 서버(20)에서는 실명-별명-민감속성 테이블(30)에서 이들 별명들에 대한 레코드를 선택하고(201), 선택된 레코드에 대해 새로운 별명을 부여한 다음(202), 이들 새로운 별칭과 기존의 별칭 정보를 데이터베이스 관리 서버(40)에 전달한다(203). 데이터베이스 관리 서버(40)는 전달받은 별칭 정보를 참고하여, 익명성보장 데이터 테이블(50)에 별칭을 수정한다(405).

Claims (5)

1. 삭제
2. 삭제
3. 사용자가 개인정보 접근 단말기를 통하여 접속할 수 있는 개인정보 관리 시스템에 있어서,
   개인별로 개인의 실명(real-ID), 별명(pseudo-ID), 개인 식별에 사용될 수 있는 성별, 주소, 나이를 포함하는 개인식별 민감 속성(p-sensitive)을 관리하는 실명-별명-민감속성 테이블을 관리하는 개인정보 관리 서버; 및
   상기 별명, 상기 민감 속성의 값들을 익명성을 보장하도록 일반화된 값으로 변환한 익명화 데이터(p-insensitive)와, 여타 속성(others)을 포함하는 익명성 보장 데이터 테이블을 관리하면서 개인정보 접근 단말기의 요청에 따라 정보를 제공하는 데이터베이스 관리 서버를 포함하는 개인정보 관리 시스템.
   
4. 청구항 3에 있어서,
   사용자가 개인정보 접근 단말기를 통하여 검색하고자 하는 개인의 실명 정보를 제공하면,
   상기 개인정보 관리 서버는 상기 실명 정보를 제공한 개인정보 접근 단말기의 사용자가 접근권한이 있으면 상기 실명 정보에 해당하는 별명을 반환받아서, 상기 데이터베이스 관리 서버에 해당 별명의 레코드를 요청하여, 검색된 레코드를 결과로서 상기 개인정보 접근 단말기에 제공하는 것을 특징으로 하는 개인정보 관리 시스템.
   
5. 청구항 4에 있어서,
   특정 개인에 대한 검색이 수행된 후,
   상기 데이터베이스 관리 서버는 상기 익명성 보장 데이터 테이블로부터 별명을 변경할 레코드를 선택하여, 선택된 레코드에서 익명화 속성값들(p-insensitives)을 추출하고, 추출된 익명화 속성값들과 동일한 것을 포함한 레코드들을 선택하여, 선택된 레코드에서 별명을 추출하고,
   상기 개인정보 관리 서버는 상기 실명-별명-민감속성 테이블에서 추출된 별명들에 대한 레코드를 선택하고, 선택된 레코드에 대해 새로운 별명을 부여한 다음, 새로운 별명 정보와 기존의 별명 정보를 상기 데이터베이스 관리 서버에 전달하고,
   상기 데이터베이스 관리 서버는 전달받은 별명 정보를 참고하여, 상기 익명성 보장 데이터 테이블에 저장된 별명을 수정하는 것을 특징으로 하는 개인정보 관리 시스템.
   

Images