属性推定攻撃を抑止可能なプログラム送付型匿名化方式の提案

摘要

匿名化はプライバシー侵害が起きないように元のデータを加工するため，生成された匿名データは元データよりも有用性が低下する．匿名データを受領する受領者にとっての有用性を高める方法として，受領者自身の有用性の考え方を示した匿名化意向を提供者に提案する方式が存在する．しかし，受領者が元データを分析せずに，匿名化前後で有用性の低下を抑えるような匿名化意向を作成するのは難しいという課題があった．そこで，元データを分析するプログラムによって匿名化意向を生成し匿名化を行うプログラム送付型匿名化方式を提案する．単純方式の場合，データ中に一人しかいないような特定個人について，属性の値を推定する属性推定攻撃の脅威がある．提案方式では，複数のサンプリングによって一人しかいないような特定個人がデータに含まれないようにし，含まれた場合でも当該データの分析結果が匿名化意向として採択されにくくすることで攻撃成功確率を低減する．