데이터 익명화 결정 기법

정민경(Minkyoung Jung),홍동권(DongKweon Hong) 한국지능시스템학회 2010 한국지능시스템학회논문지 Vol.20 No.2

공개되는 데이터에서 각 개인의 민감한 정보를 보호하기 위한 방법으로 데이터 익명화에 관한 연구가 활발히 이루어지고 있다. 대부분의 연구들은 익명화 요구 사항에 위배되지 않으면서, 효율적인 시간 내 레코드들을 일반화하는 기법을 중심으로 연구를 진행하고 있다. 익명화 작업이 많은 시간이 요구되는 문제임을 고려한다면, 민감한 정보에 대한 프라이버시 침해의 우려가 있는지, 익명화가 요구되는지를 미리 검사하는 것은 개인 정보 보호차원뿐만 아니라 데이터의 활용성 및 시간적 효율성 측면에서도 매우 중요하다. 또한, 그러한 침해의 우려가 있다면 어떤 유형의 공격에 취약한지를 미리 판단함으로써 그에 적절한 익명화 방식을 결정하는 것도 중요하다. 본 논문에서는 민감한 속성에 대한 공격 유형을 크게 2가지로 분류한다. 그리고 데이터가 이들 공격으로부터 안전한가의 여부를 검사할 수 있는 기법을 제시하고, 불안정하다면 어떠한 공격에 취약하고 대략 어떤 방식의 일반화가 요구되는가를 제시한다. 본 연구에서는 익명화되기 전의 테이블뿐만 아니라, 익명화된 테이블, 그리고 익명화가 되었지만 삽입, 삭제로 인해 변경된 테이블도 공격성 검사 대상이 된다. 뿐만 아니라 익명화된 테이블도 민감한 정보를 제대로 보호하고 있는지 혹은 삽입 삭제로 인해 재익명화 작업이 필요한지의 여부도 본 연구의 결과로 결정할 수 있다. The research of the preserving privacy of sensitive information has been popular recently. Many researches about the techniques of generalizing records under k-anonymity rules have been done. Considering that data anonymity requires a lot of time and resources, it would be important to decide whether a table is vulnerable to privacy attacks before being opened in terms of the improvement of data utilization as well as the privacy protection. It is also important to check to which attack the table is vulnerable and which of anonymity methods should be applied in the table. This paper describe two possible privacy attacks based upon related references. Also, we suggest the technique to check whether data table is vulnerable to any attack of them and describe what kind of anonymity methods should be done in the table. The technique we suggest in this paper can also be applied for checking the safety of anonymity tables in which insert or delete operations occurred as well from privacy attacks.

데이터 스트림의 프라이버시 보호를 위한 지연 없는 익명화 기법

김수형(Soohyung Kim),성민경(Min Kyoung Sung),정연돈(Yon Dohn Chung) 한국정보과학회 2013 정보과학회논문지 : 데이타베이스 Vol.40 No.6

개인정보가 포함된 데이터 스트림은 프라이버시 보호를 위해 익명화 과정을 거쳐 활용되어야 한다. 기존의 데이터 스트림을 위한 익명화 기법은 일정량의 데이터를 저장하였다가 익명화하는 방법을 사용한다. 이러한 기존의 데이터 스트림을 위한 익명화 기법은 배포의 실시간성을 보장하지 못하고, 큰 정보 손실을 발생시킨다. 본 논문에서는 이러한 기존 기법의 문제점을 해결하기 위하여, 무지연 익명화(Delay-free) 기법을 제안한다. 무지연 익명화는 레코드를 입력되는 즉시 Anatomy 방법으로 배포하여 데이터 활용의 실시간성을 보장한다. 또한 배포된 레코드의 정보를 유지하여 높은 정보 유용성을 보인다. 몇 가지 성능 향상 기법은 익명화 과정에서 발생하는 정보 손실을 크게 감소시킨다. 알려진 바로, 무지연 익명화는 데이터 스트림의 실시간성을 보장하는 최초의 기법이다. 실험을 통하여 제안하는 기법이 높은 정보 유용성을 보임을 확인한다. Data streams which contain private information should be utilized after the anonymization process. Existing anonymization methods for data streams utilize the manner which stores a certain amount of data and then anonymizes them. These methods suffer from no guarantee of real-time publishing and generate huge information loss. To solve the defects of existing studies, in this paper, we propose a delay-free anonymization method. The delay-free anonymization guarantees real-time application by publishing records immediately using the Anatomy approach just after the input. It also shows high utility by managing the information of published records. Several performance improvement techniques highly decrease the information loss generated during the anonymization process. To our best knowledge, the delay-free anonymization is the first method for guaranteeing the real-time property of data streams. We demonstrate that the proposed anonymization achieves high utility by experiments.

생명윤리법상 익명화의 개선 방안에 관한 연구

이서형 한국생명윤리학회 2019 생명윤리 Vol.20 No.2

정보통신 기술이 발달하면서 대량의 정보 처리가 가능하게 되었다. 이에 따라 생명윤리법상 인간대상연구, 인체유래물연구 등을 수행함에 있어서도 연구대상자나 인체유래물 기증자 등으로부터 구체적인 동의를 획득하지 않고 이들의 개인정보를 대량으로 수집, 익명화하여 이용하고자 하는 요구가 높아졌다. 이와 같이 연구대상자 등의 구체적인 동의 없이 이들의 개인정보를 이용하기 위해서는, 적어도 동법에 따른 익명화가 개인정보를 충분히 보호할 수 있는 처리에 해당한다는 점을 신뢰할 수 있어야 한다. 이 글은 미국과 EU의 관련 규정에서 제시하는 개인정보 및 개인정보를 처리하는 개념과, 그 구체적인 기준 등을 살펴보면서, 이에 비추어 볼 때 과연 생명윤리법상 익명화가 연구대상자 등의 개인정보를 충분하게 보호할 수 있는 처리에 해당하는지 여부를 검토하고자 하였다. 생명윤리법은 “개인에 관한 정보”를 개인정보로서 폭넓게 보호하는데, 이와는 별도로 식별 가능성을 기준으로 개인식별정보를 정의하고 이를 처리하는 개념으로 익명화를 제시한다. 다만 동법은 개인식별정보에서 식별 가능성의 기준이나, 익명화의 구체적인 기준 및 처리 방법 등에 대해 제시하지 않는다. 미국과 EU의 관련 규정을 살펴볼 때, 생명윤리법상 익명화가 개인정보를 보호할 수 있는 처리에 해당하기 위해서는 최소한 익명화의 처리 대상인 개인식별정보의 정의, 즉 직·간접적인 식별 가능성의 기준을 보다 명확하게 제시하는 것이 필요하다. 그리고 기술의 발달에 따라 식별 가능성의 위험이 높아지기 때문에, 이러한 변화가 개인정보 보호에 미치는 영향과 그에 따라 식별 가능성의 기준을 변경해야 할 필요성에 대해 지속적으로 평가하고, 나아가 그 결과를 생명윤리법상 개인식별정보와 익명화 개념에 지속적으로 반영하려는 노력이 수반되어야 한다. 무엇보다 이에 따라 변화한 개인식별정보 및 익명화 개념에 대해서는, 그 변화의 필요성과 구체적인 내용, 기준과 방법 등을 공중에 공개함으로써 개인들로 하여금 자신들에 관한 정보가 어떠한 기준과 절차에 따라 처리되는지 알도록 하고, 이와 같은 처리에 따를 때 자신들에 관한 정보가 충분하게 보호될 수 있는지, 그렇지 않다면 개인정보를 보호하는 체계는 어떻게 구성해야 하는지에 대해 숙고하도록 하면서, 궁극적으로는 이를 통해 개인들이 그 체계를 구축하는 데 능동적으로 참여할 수 있도록 할 것이 요구된다. With the development of information and communications technology, a large amount of information can be easily processed. Accordingly, there has been a growing demand for collecting, anonymizing, and using the personal information of research subjects or donors without obtaining their specific consent while conducting research on human beings or human-derived materials under Bioethics Law. If personal information is being used without the specific consent of the research subject, it should be guaranteed that anonymization under the same law would constitute sufficient protection of personal information. By delving into the concept of personal information, its processing, and the specific criteria presented in the relevant regulations of the United States and the EU, this paper examines whether anonymization under Bioethics Law constitutes sufficient protection of personal information of the subject. Bioethics Law provides extensive protection of the “information relating to individuals” as personal information, separately defining personally identifiable information based on its identifiability and presenting anonymization as a concept that processes it. However, the same law does not provide criteria for identifiability in personally identifiable information, or specific criteria or method for anonymization. In the background of the relevant provisions of the United States and the EU, it is necessary to at least present a more clear definition of personally identifiable information that is subject to anonymization, that is, standards of direct and indirect identifiability, in order for anonymization to constitute a method that can protect personal information under Bioethics Law. In addition, because the risk for identifiability increases with the development of technology, it should be accompanied by an ongoing assessment of the impact of these changes on privacy and the need to change the criteria for identifiability accordingly, as well as efforts to reflect the results in the concepts of personally identifiable information and anonymization under Bioethics Law. Most importantly, in terms of the concept of personally identifiable information and anonymization that has changed accordingly, it is necessary that, by disclosing to the public the need, specific contents, standards and methods of the change, individuals are aware of the standards and procedures by which their personal information is processed, whether it can be adequately protected when processed in this manner and, if not, how the system of protecting personal information should be built, and ultimately for individuals to actively participate in constructing such a system.

위치기반 서비스에서 프라이버시를 위한 연속질의와 질의 로그 익명화 기법

박소미(Somi Park),배주호(Juho Bai),박석(Seog Park) 한국정보과학회 2011 정보과학회논문지 : 데이타베이스 Vol.38 No.2

LBS(Location Based Services) are rapidly spread on the basis of GPS-added mobile devices. There are many studies for privacy preserving on LBS because, if LBS Server is exposed by attacker, leaked log can be used to find the exact location and personal information of user by inference attack. In this paper, we propose new anonymizing technique for continuous queries on LBS. It makes the same anonymized groups for continuous queries. It prevents intersected query attack and the intersected set of anonymized groups satisfies Location k-anonymity value. We also provide new architecture for query log anonymizing on LBS server. If attacker can search log record on the server, Object Diversify and Attribute Unlink techniques protect privacy personal information by strategies that anoymize who the actual issuer is, what he looks for, and where he is. This study offers a half reduced processing time on anonymizing process. And it provides determinate anonymized group on large scaled user service or anonymizing environment. 최근 GPS를 탑재한 모바일 기기들의 발전으로 위치기반 서비스의 이용이 확산되고 있다. 그러나 위치기반 서비스는 사용자의 위치정보가 누출될 경우 추론 공격 등을 통해 정확한 위치뿐만이 아니라 신변 정보까지 노출될 수 있는 가능성을 가져 위치정보를 보호하기 위한 위치기반 서비스 익명화 기법에 대한 연구가 대두되고 있다. 본 논문에서는 첫째, 기존 기법의 문제점인 연속적인 질의에 대한 교차공격을 방지할 수 있는 새로운 익명화 기법을 제시한다. 이 기법은 연속적인 질의에 대한 익명화 그룹이 동일하게 생성될 수 있도록 하여 그 그룹들의 교집합이 Location k-anonymity를 만족할 수 있도록 한다. 둘째, 익명화 서버의 질의 로그에 대해 사용자의 질의에 대한 프라이버시를 동시에 고려하는 기법을 제안한다. Object Diversify와 Attribute Unlink 기법을 통하여 공격자가 서버에 저장된 질의 로그에 접근 가능한 경우, 어떠한 사용자가 실제 질의자이고, 어디에서 무엇을 찾고자 하는지를 모호하게 만들어 프라이 버시를 보호한다. 본 연구는 기존 기법들의 문제점을 해결하기 위한 익명화 기법을 이용하여 수행시간을 약 50% 단축하고, 사용자 수나 익명화에 필요한 값이 증가 하더라도 익명화 그룹 범위를 일정 범위로 제한하는 방법을 제시한다.

GPGPU를 이용한 익명화 알고리즘의 병렬처리 기법

정기정,이혁기,김수형,정연돈 한국정보과학회 2016 데이타베이스 연구 Vol.32 No.1

In recent years, a number of organizations and companies have created and published microdata in various fields. Data privacy of individuals can be intruded if they are published with sensitive attributes and identifying attributes. As a result, privacy models, such as k-anonymity and l-diversity, are widely used for privacy-preserving microdata publishing. It is an NP-hard problem that satisfying privacy models with minimum information loss. Therefore, varied anonymization algorithms which find sub-optimal answers in less time are suggested. However, due to the advent of the big data era, the number of attributes and the size of datasets increase, hence a necessity for faster anonymization algorithms has been emerged. Thus, we point out the existing algorithms are serial computations which only consider CPU. Also we suggest a parallel anonymization algorithm using general-purpose graphics processing units. Moreover, we demonstrate the performance of the proposed algorithm by comparing with CPU-based algorithm. 최근 다양한 기관과 기업들이 여러 분야에서 마이크로데이터를 생성하고 이를 배포하고 있다. 이 과정에서개인을 식별할 수 있는 정보와 민감한 정보가 함께 배포되어 개인의 프라이버시가 유출될 수 있다. 안전한마이크로데이터 배포를 위하여 k-anonymity와 이를 보완한 l-diversity 등의 프라이버시 모델들이 널리 활용되고 있다. 이 때, 프라이버시 모델을 만족하면서 동시에 데이터셋(dataset)의 정보 손실을 최소화 하는 것은 NP-Hard 문제이기 때문에, 적은 시간 안에 최적에 가까운 익명화 해를 찾으려는 다양한 근사 알고리즘들이 제안되었다. 그러나 빅데이터 시대의 도래로 인해 배포되는 데이터의 크기와 속성의 수가 증가하면서 더빠른 익명화의 필요성이 강조되고 있다. 따라서 본 논문에서 기존 익명화 알고리즘이 CPU 처리만을 가정한순차적 연산임을 지적하고, GPGPU를 이용한 익명화 알고리즘의 병렬 처리 기법을 제안한다. 또한, 실험을통하여 k-anonymity와 l-diversity를 만족시키기 위한 익명화 알고리즘의 수행 시간을 비교하여 제안 알고리즘의 성능 향상을 검증한다.

방향성이 있는 소셜 네트워크 데이터의 익명화 기법

성민경(Min Kyoung Sung),김수형(Soohyung Kim),정연돈(Yon Dohn Chung) 한국정보과학회 2012 정보과학회논문지 : 데이타베이스 Vol.39 No.6

사용자의 프로필 정보, 사용자간 관계 등을 포함한 소셜 네트워크 데이터는 정부, 연구기관 등 제 3자에 배포되어 마케팅, 의학연구, 인간관계 분석 등 다양한 분야에 이용된다. 그러나 사용자의 민감한 정보가 데이터에 포함되어 있을 수 있으므로 배포 전 반드시 데이터 익명화 작업이 필요하다. 최근 소셜 네트워크 데이터 익명화에 관한 연구가 활발히 진행되고 있으나 연구가 방향성이 있는 그래프로 모델화된 소셜 네트워크 데이터를 다룬 논문은 없다. 본 논문에서는 방향성이 있는 그래프로 모델화된 소셜 네트워크 익명화 모델과 두 가지 알고리즘을 제안한다. 알려진 바로는 본 논문이 방향성이 있는 그래프로 모델화된 소셜 네트워크 익명화 기법을 다룬 첫 번째 논문이다. 제안된 두 가지 알고리즘은 간선 추가 기법을 사용하여 소셜 네트워크 데이터를 익명화 하며, 실제 소셜 네트워크 데이터를 사용한 실험을 통해 성능을 평가하였다. Social network data including the users’ profile and the relationships between users is published to the government, research institute and other third parties for the study of marketing, medical research and human relations. Since the social network data includes the sensitive information of the users, however, the data should be anonymized before it is published. Though much work has been studied recently to anonymize the social network data, none of these studies considered the social network data modeled as a directed graph. In this paper, we propose an anonymization model and two algorithms for the social network data modeled as a directed graph. To the best of our knowledge, this is the first study of considering an anonymization method for the social network modeled as a directed graph. The proposed algorithms anonymize the social network data using the edge addition strategy, and the performances are evaluated using a real social network dataset.

공공데이터의 연구목적 제공에 있어 개인정보보호의 문제: 익명화를 중심으로

고학수,정해빈 에스케이텔레콤 (주) 2014 Telecommunications Review Vol.24 No.3

공공기관이 보유하고 있는 데이터를 연구목적 등을 위해서 공개하는 것은 일반적으로 데이터에 포함된 정보를 유용하게 활용할 수 있는 기회를 제공하는 한편, 데이터의 활용 과정에서 어떻게 개인정보에 대한 적절한 보호수준을 유지할 것인지에 관한 쉽지 않은 문제를 제기한다. 이 글에서는 공공데이터의 연구목적 제공에 있어 발생할 수 있는 개인정보보호 맥락에서의 법제도적 쟁점들을 분석하여 정책적 시사점을 얻고자 하였다. 데이터의 공개와 관련된 익명화 및 재식별 등의 가능성에 대한 검토를 거쳐 도출된 시사점은 다음과 같다. 첫째, 정보주체로부터 직접적인 동의를 받기 쉽지 않은 현실적인 여건 및 그와 관련된 국내법의 체계를 고려하면, 연구목적 데이터의 공개를 위해서는 데이터에 대한 익명화는 많은 경우에 필수적이다. 둘째, 익명화에 관해 법에 규정되어 있기는 하지만, 그 구체적인 수준이나 방법 등에 관해서는 명확한 규정이나 일반적인 규범이 아직 형성되지 않은 상황이어서 그에 대해 상세한 검토와 지속적인 관심이 필요하다. 셋째, 건강보험 코호트DB의 경우, 주소를 광역시·도 수준에서 제한적으로 공개하는 방식을 택하였는데 이로 인해 익명화의 수준은 매우 높게 유지할 수 있었던 한편, 그 과정에서 데이터에 포함된 정보의 유용성이 떨어지게 되었을 가능성이 있다. 넷째, 익명화 데이터에 대하여 제3의 비정형 데이터를 구하여 개인정보의 재식별을 위한 시도를 해볼 수 있으나, 이러한 시도는 ‘의욕적인 침입자’를 상정한 상황에서는 성공하기 어려운 경우가 많고, 의료정보 등 전문적이고 복잡한 내용의 데이터에 대해서는 재식별은 더욱 어려운 것으로 보인다.

실시간 스트림 데이터 익명화에서 정보 손실 측도의 개선에 관한 연구

이지연,주용완,윤혜영,김순석 사단법인 한국융합기술연구학회 2023 아시아태평양융합연구교류논문지 Vol.9 No.11

스트림 데이터는 각종 범죄 신고 정보, 온라인 판매 거래 정보, 병원 내 환자 모니터링 기기 정보 등 실시간으로 수집되는 정보를 말한다. 본 논문은 스트림 데이터의 프라이버시 문제인 익명화 문제를 다룬다. 일반적으로 익명화의 주요 고려 사항은 안전한 동시에 유용한 방식으로 데이터를 처리하는 것이다. 데이터 유용성은 곧 데이터의 품질을 말하며, 소위 정보 손실 척도로 측정된다. 본 논문에서는 실시간 스트림 데이터 익명화에서 그동안의 정보 손실 지표들을 검토하고 단점을 개선한 새로운 지표를 제안한다. 우리는 실시간 스트림 데이터 익명화에서 기존 Goldberger 등이 제안한 기법을 적용하여 단점을 개선하였다. Goldberger 등이 제안한 측도는 k-익명성 모델이 적용되어 일반화된 데이터셋에서 기존에 적용되지 않았던 데이터 테이블의 전체 동질집합과 동질집합 내 레코드 수를 함께 고려한 것이 특징이다. 기존에는 하나의 클러스터 내 하나의 동질집합만을 가정하였기 때문에 고려사항에 포함되지 않았다. 그 이유는 하나의 클러스터 내에서 k-익명성을 만족하지 못하는 해당 레코드들은 이동 가능한 즉, 차순위 유사 식별자로 클러스터링이 가능한 다른 클러스터에 할당하거나 할당 가능한 클러스터가 없는 경우 삭제되기 때문이다. 그러나 정보 손실 측면에서 해당 레코드들의 삭제는 곧 손실 증가로 이어지기 때문에 다른 클러스터에 배정하는 것이 타당하다. 따라서 이들 레코드들을 이동 가능한 타 클러스터로 배정하거나 배정할 클러스터가 없을 경우 삭제 대신 이들 레코드 모두를 별도의 독립된 클러스터에 할당하여 정보 손실을 최소화하는 것이 바람직하다. 제안 아이디어는 전자의 경우보다는 후자에 주목한다. 이 경우 독립된 클러스터 내에는 유사 식별자들 갖는 여러 동질집합들이 존재할 수 있기 때문이다. 따라서 제안하는 Goldberger 등의 측도를 이용함으로서 동질집합과 동질집합 내 레코드 수를 감안하여 정보 손실을 측정한 후 손실 값이 최소화 되도록 값들을 일반화할 필요가 있다. Stream data refers to information collected in real time, such as crime report information, online sales transaction information, and information from patient monitoring devices in hospitals. This paper deals with the anonymization problem, which is the privacy issue of stream data. Usually, the main consideration in anonymization is how to process the data in such a way that it is secure and useful at the same time. Data usefulness refers to the quality of data and is measured by a so-called loss of information measure. In this paper, we review the current information loss metric in real-time stream data anonymization and propose a new metric that improves the disadvantages by applying Goldberger et al.'s scheme. The measure proposed by Goldberger et al. is characterized by considering the total equivalent class of the data table and the number of records in the equivalent class, which were not previously applied in the generalized dataset to which the k-anonymity model was applied. In the past, only one equivalent class within one cluster was assumed, so it was not included in the consideration. The reason is that records that do not satisfy k-anonymity within one cluster are allocated to other clusters that can be moved, that is, clustered with the next-rank quasi-identifier, or are deleted if there are no clusters that can be allocated. However, in terms of information loss, it is reasonable to assign them to other clusters because deleting those records leads to increased loss. Therefore, it is desirable to minimize information loss by allocating these records to another cluster that can be moved or, if there is no cluster to be assigned, allocating all of these records to a separate independent cluster instead of deleting them. The proposed idea focuses on the latter rather than the former. In this case, it is because several equivalent classes with quasi-identifiers can exist in an independent cluster. Therefore, by using the proposed metric of Goldberger et al., it is necessary to generalize to minimize the measured loss value after measuring the information loss by considering the equivalent class and the number of records in the equivalent class.

독일에서 법원의 판단, 심리 그리고 소송기록 공개의 헌법적 기초와 실태 : 소송 관계자들의 익명화를 중심으로

김해원 숭실대학교 법학연구소 2012 法學論叢 Vol.28 No.-

우리의 경우와 달리 독일은 헌법(기본법)이 직접 재판 내지는 소송상의 공개주의 원칙을 명시적으로 규정함 없이, 기본적으로 개별 법률들을 통해서 이를 규율하고 있다. 하지만 독일 역시 재판 및 소송과 관련된 공개의 문제들을 단순히 입법자가 자유롭게 처리할 수 있는 입법형성권한 내의 문제로만 맡겨두고 있는 것은 아니다. 오히려 이러한 재판 및 소송상의 공개주의 원칙은 헌법적 가치를 포함하고 있어서 입법권자의 형성권을 제약·통제하고 있다. 본 글에서는 우선 독일에서 행해지고 있는 재판 및 소송상의 공개주의 원칙의 의미와 그 헌법적 기초에 관해서 간략하게 언급한 후, 독일법원조직법상의 규정들을 중심으로 재판의 심리, 판결 및 기록공개와 관련된 내용들을 '원칙적 공개, 예외적 제한'이란 차원에서 살펴본 다음, 실재로 독일 사법현실에서 행해지고 있는 구체적인 재판기록 및 재판정보 공개의 실태를 일별하였으며, 나아가 소송 관계자들의 이름을 익명화하여 처리하는 문제를 살펴보았다. 이러한 연구를 통해서 얻어진 결론은 다음과 같다: (1) 독일에서 법원재판의 공개는 제3자의 문서열람권에 관한 규정들에서부터 근거하는 것도, 소송상의 공개원칙 혹은 그 밖의 단순법률규정들로부터 직접 근거하는 것도 아니다. 이는 민주주의 원리 및 법치국가 원리와의 관련 속에서 독일 기본법 제92조를 해석함으로써 도출되는 헌법적 차원의 가치이다. (2) 이러한 재판의 공개는 일차적으로 법원행정 및 법원행정으로부터 위임받은 조직체들의 임무이다. (3) 따라서 재판공개주의는 원칙적으로 관철되어야 한다. 하지만, 개별적이고 구체적인 상황 속에서 충돌하는 다른 헌법적 가치들을 고려하여 제한되어질 수 있다. 이러한 제한사유는 특히 독일 법원조직법 제171조와 제172조를 중심으로 규정되어 있다. (4) 소송관여자들의 이름 공개여부와 관련해서 오늘날 독일에서는 관련자들의 인격권 보호라는 측면에서 익명화하여 처리하는 것이 원칙적인 태도이지만, 저명인사들의 경우에는 그 이름을 공개하기도 한다. 이러한 익명화와 관련하여 일반적으로 타당한 기준은 아직 독일에서도 마련되어 있지 않고, 학설간의 다툼이 있다. 우리의 헌법 및 소송현실에 부합되는 재판 및 소송기록 등의 공개와 관련된 규준들을 만들어 감에 있어서 독일에서의 몇 가지 논의사항들을 정리한 본 논문이 좋은 참고가 되었으면 한다.

데이터 공개를 위한 트랜잭션 데이터 익명화

김영훈(Younghoon Kim),박형민(Hyoungmin Park),심규석(Kyuseok Shim) 한국정보과학회 2011 정보과학회논문지 : 데이타베이스 Vol.38 No.3

정부나 의료 기관, 회사에서는 여러 가지 데이터를 공개하여 연구목적이나 마케팅을 위해 유용하게 활용하도록 제공하고 있다. 그러나 공개된 데이터를 통해 개인의 사생활이 노출될 가능성이 있기 때문에 이를 막기 위해 익명화(anonymization) 방법이 최근 활발히 연구되고 있다. 본 연구에서는 쇼핑몰의 장바구니 데이터나 검색엔진의 질의 로그와 같이 정해진 속성이 없이 집합 형태를 갖는 데이터를 외부 사람들에게 공개하기 위한 익명화를 연구한다. 특히 물건을 구입한 내역 뿐만 아니라 구입하지 않은 정보를 통해서도 개인 정보 노출이 일어날 수 있다는 점을 고려해 (h,k,p,n)-coherence라는 모델을 제시하고 또한 정보 손실량을 최소로 하기 위한 그리디 알고리즘을 제안하였다. 그리고 실생활 데이터를 이용한 실험을 통해 기존의 연구와 비교하여 정보 손실량을 더욱 줄일 수 있음을 검증하였다. Transaction data, which is a table of item sets where each item set is associated with an individual, is very common in databases such as basket data and query log in search engine. When a table containing individual data is published, disclosure of sensitive information should be prohibitive. Since simply removing identifiers such as name and social security number may reveal the sensitive information by linking attacks which join the published table with other public tables on some sets of items, several privacy preserving models such as k-anonymity and l-diversity are proposed, and anonymization algorithms are also suggested previously. In this paper, we propose a novel privacy preserving model that prohibits the linking attacks with the information of absent items, which we call (h,k,p,n)-coherence, and suggest an approximation algorithm that guarantees (h,k,p,n)-coherence using item generalization and transaction appending. Experimental results confirm that our approximation algorithm performs significantly better than traditional approximation algorithms.