Analisis risiko identifikasi ulang (atau cukup analisis risiko) adalah proses menganalisis data sensitif untuk menemukan properti yang mungkin meningkatkan risiko subjek yang diidentifikasi, atau informasi sensitif tentang individu yang diungkapkan. Anda dapat menggunakan metode analisis risiko sebelum de-identifikasi untuk membantu menentukan strategi de-identifikasi yang efektif, atau setelah de-identifikasi untuk memantau perubahan atau pencilan.
De-identifikasi adalah proses penghapusan informasi identitas pribadi dari data. Sensitive Data Protection dapat mendeteksi dan melakukan de-identifikasi data sensitif untuk Anda sesuai dengan cara Anda mengonfigurasinya agar sesuai dengan persyaratan organisasi Anda.
Sebaliknya, re-identifikasi adalah proses pencocokan data yang telah dide-identifikasi dengan data lain yang tersedia untuk menentukan orang yang memiliki data tersebut. Identifikasi ulang paling sering dibahas dalam konteks informasi pribadi yang sensitif, seperti data medis atau keuangan.
Untuk mengetahui informasi selengkapnya tentang cara menggunakan Sensitive Data Protection untuk mengukur berbagai jenis risiko, lihat Mengukur risiko identifikasi ulang dan pengungkapan.
Kapan harus menggunakan analisis risiko identifikasi ulang
Berikut adalah beberapa kasus penggunaan umum:
- Mengukur kerentanan identifikasi ulang sebelum membagikan data: Ukur k-anonimitas dan l-keberagaman di seluruh kolom quasi-identifikasi sebelum merilis set data riset, layanan kesehatan, atau demografis kepada partner eksternal.
- Mengevaluasi risiko pengungkapan terhadap tolok ukur populasi: Menghitung metrik k-map terhadap set data demografis publik (seperti data Sensus AS) untuk mengukur probabilitas bahwa seseorang dapat diidentifikasi.
- Menilai sensitivitas pengungkapan keanggotaan dengan delta-presence: Perkirakan risiko bahwa penyerang dapat menentukan apakah individu tertentu termasuk dalam kelompok atau registry sensitif.
- Optimalkan parameter de-identifikasi dan masking: Jalankan evaluasi risiko iteratif untuk menyesuaikan transformasi pengelompokan, pergeseran tanggal, dan tokenisasi guna mencapai keseimbangan ideal antara privasi dan utilitas.
Istilah dan teknik analisis risiko
Jika Anda tidak melakukan de-identifikasi data sensitif dengan benar atau memadai, Anda berisiko membuat penyerang mengidentifikasi ulang data atau mempelajari informasi sensitif tentang individu, yang dapat berdampak serius pada privasi. Sensitive Data Protection dapat membantu menghitung risiko ini, sesuai dengan beberapa metrik.
Sebelum membahas metrik, pertama-tama kita akan menentukan beberapa istilah umum:
- ID: ID dapat digunakan untuk mengidentifikasi individu secara unik. Misalnya, nama lengkap atau nomor tanda pengenal terbitan pemerintah seseorang dianggap sebagai ID.
- Quasi-identifier: Quasi-identifier tidak mengidentifikasi individu secara unik, tetapi, jika digabungkan dan direferensikan silang dengan data individu, quasi-identifier dapat meningkatkan kemungkinan penyerang dapat mengidentifikasi ulang individu secara signifikan. Misalnya, kode pos dan usia dianggap sebagai quasi-identifier.
- Data sensitif: Data sensitif adalah data yang dilindungi dari eksposur yang tidak sah. Atribut seperti kondisi kesehatan, gaji, pelanggaran pidana, dan lokasi geografis biasanya dianggap sebagai data sensitif. Perhatikan bahwa mungkin ada tumpang-tindih antara ID dan data sensitif.
- Class kesetaraan: Class kesetaraan adalah grup baris dengan quasi-identifier yang identik.
Ada empat teknik yang dapat digunakan Sensitive Data Protection untuk mengukur tingkat risiko yang terkait dengan set data:
- k-anonymity: Properti set data yang menunjukkan kemampuan identifikasi ulang record-nya. Sebuah set data dikatakan k-anonymous jika quasi-identifier untuk setiap orang dalam set data tersebut identik dengan setidaknya k – 1 orang lain yang juga ada dalam set data tersebut.
- l-diversity: Perluasan dari k-anonymity yang juga mengukur keragaman nilai sensitif untuk setiap kolom tempat nilai tersebut muncul. Sebuah set data dikatakan memiliki l-diversity jika, untuk setiap set baris dengan quasi-identifier yang identik, terdapat setidaknya l nilai berbeda untuk setiap atribut sensitif.
- k-map: Menghitung risiko identifikasi ulang dengan membandingkan set data subjek yang telah dide-identifikasi dengan set data identifikasi ulang—atau "serangan"—yang lebih besar. Sensitive Data Protection tidak mengetahui set data serangan, tetapi memodelkannya secara statistik menggunakan data yang tersedia untuk publik seperti Sensus AS, menggunakan model statistik kustom (ditunjukkan sebagai satu atau beberapa tabel BigQuery), atau dengan mengekstrapolasi dari distribusi nilai dalam set data input. Setiap set data—set data sampel dan set data re-identifikasi—memiliki satu atau beberapa kolom quasi-identifier.
- Delta-presence (δ-presence): Memperkirakan probabilitas bahwa pengguna tertentu dalam populasi yang lebih besar ada dalam set data. Hal ini digunakan jika keanggotaan dalam set data itu sendiri merupakan informasi sensitif. Serupa dengan peta k, Sensitive Data Protection tidak mengetahui set data serangan, tetapi secara statistik memodelkannya menggunakan data yang tersedia secara publik, distribusi yang ditentukan pengguna, atau ekstrapolasi dari set data input.
Tentang k-anonymity
Saat mengumpulkan data untuk tujuan riset, de-identifikasi dapat menjadi hal yang penting untuk membantu menjaga privasi peserta. Pada saat yang sama, de-identifikasi dapat menyebabkan set data kehilangan kegunaan praktisnya. k-anonymity dibuat dari kebutuhan untuk mengukur kemampuan identifikasi ulang set data dan menyeimbangkan kegunaan data orang yang telah dide-identifikasi dan privasi orang yang datanya digunakan. K-anonimitas adalah properti set data yang dapat digunakan untuk menilai kemampuan identifikasi ulang kumpulan data dalam set data.
Sebagai contoh, pertimbangkan kumpulan data pasien:
| ID Pasien | Nama Lengkap | Kode Pos | Usia | Kondisi | ... |
|---|---|---|---|---|---|
| 746572 | John J. Jacobsen | 98122 | 29 | Penyakit jantung | |
| 652978 | Debra D. Dreb | 98115 | 29 | Diabetes, Tipe II | |
| 075321 | Abraham A. Abernathy | 98122 | 54 | Kanker, Hati | |
| 339012 | Karen K. Krakow | 98115 | 88 | Penyakit jantung | |
| 995212 | William W. Wertheimer | 98115 | 54 | Asma | |
| ... |
Set data ini berisi ketiga jenis data yang telah kami jelaskan sebelumnya: ID, quasi-identifier, dan data sensitif.
Jika data sensitif seperti kondisi kesehatan tidak disamarkan atau diredaksi, penyerang dapat menggunakan quasi-identifier yang dilampirkan pada setiap data, yang berpotensi melakukan referensi silang dengan set data lain yang berisi quasi-identifier serupa, dan mengidentifikasi ulang orang yang memiliki data sensitif tersebut.
Sebuah set data dikatakan k-anonymous jika setiap kombinasi nilai untuk kolom demografis dalam set data tersebut muncul untuk setidaknya k kumpulan data berbeda. Ingat bahwa sekelompok baris dengan quasi-identifier yang identik disebut "kelas ekuivalensi". Misalnya, jika Anda telah melakukan de-identifikasi quasi-identifier secara memadai sehingga terdapat minimal empat baris yang nilai quasi-identifier-nya identik, nilai k-anonymity set data tersebut adalah 4.
ID entitas dan komputasi k-anonymity
Opsi penting yang disertakan Sensitive Data Protection saat menghitung k-anonymity adalah ID entitas (ID) opsional. ID entity memungkinkan Anda menentukan anonimitas k secara lebih akurat dalam skenario umum di mana beberapa baris set data Anda sesuai dengan pengguna yang sama. Jika tidak, jika setiap baris, terlepas dari penggunanya, dihitung secara terpisah, jumlah total pengguna yang digunakan untuk menghitung nilai anonimitas k set data akan dibuat tinggi secara artifisial. Hal ini membuat nilai k-anonymity yang dihitung menjadi tidak akurat.
Pertimbangkan set data sederhana berikut:
| ID Pengguna | Kode pos (ZIP code) |
|---|---|
| 01 | 42000 |
| 02 | 17000 |
| 02 | 42000 |
| 03 | 17000 |
| 03 | 42000 |
| 03 | 42000 |
| 04 | 42000 |
| 04 | 17000 |
Tanpa menggunakan ID entitas untuk mencatat kapan baris yang berbeda dimiliki oleh pengguna yang sama, total jumlah pengguna yang digunakan saat menghitung anonimitas k adalah 8, meskipun jumlah pengguna sebenarnya adalah 4. Dalam set data ini, menggunakan metode penghitungan k-anonymity tradisional (tanpa ID entitas), 3 orang memiliki nilai k-anonymity 3, dan 5 orang memiliki nilai k-anonymity 5, meskipun hanya ada 4 orang sebenarnya dalam database.
Menggunakan ID entity menyebabkan Sensitive Data Protection mempertimbangkan multiset kode pos yang terkait dengan pengguna sebagai quasi-identifier saat menghitung anonimitas k. Dalam contoh kita, sebenarnya ada tiga nilai quasi-identifier "gabungan" karena ada tiga kombinasi quasi-identifier berbeda yang ditetapkan ke pengguna: 42000, multiset 17000 dan 42000, serta multiset 17000, 42000, dan 42000. Keduanya sesuai dengan pengguna sebagai berikut:
- [42000] dikaitkan dengan 1 pengguna unik (01).
- [17000, 42000] dikaitkan dengan 2 pengguna unik (02 dan 04).
- [17000, 42000, 42000] dikaitkan dengan 1 pengguna unik (03).
Seperti yang Anda lihat, metode ini memperhitungkan bahwa pengguna dapat muncul lebih dari sekali dalam database kode pos kita, dan memperlakukannya sebagaimana mestinya saat menghitung k-anonymity.
Resource k-anonymity
Untuk informasi selengkapnya tentang anonimitas k, lihat Protecting Privacy when Disclosing Information: k-Anonymity and Its Enforcement through Generalization and Suppression, oleh Pierangela Samarati dan Latanya Sweeney dari Harvard University Data Privacy Lab.
Untuk mempelajari cara menghitung k-anonymity dengan Sensitive Data Protection, dengan atau tanpa ID entity, lihat Menghitung k-anonymity untuk set data.
Tentang l-diversity
l-diversity terkait erat dengan k-anonymity, dan dibuat untuk membantu mengatasi kerentanan set data yang dide-identifikasi terhadap serangan seperti:
- Serangan homogenitas, yaitu penyerang memprediksi nilai sensitif untuk sekumpulan data yang dianonimkan k dengan memanfaatkan homogenitas nilai dalam sekumpulan data k.
- Serangan pengetahuan latar belakang, yaitu penyerang memanfaatkan pengaitan antara nilai quasi-identifier yang memiliki atribut sensitif tertentu untuk mempersempit kemungkinan nilai atribut.
l-diversity mencoba mengukur seberapa banyak penyerang dapat mempelajari orang dalam hal k-anonymity dan class kesetaraan (set baris dengan nilai quasi-identifier yang identik). Sebuah set data dikatakan memiliki l-diversity jika, untuk setiap kelas ekuivalensi, terdapat setidaknya l nilai unik untuk setiap atribut sensitif. Untuk setiap class kesetaraan, berapa banyak atribut sensitif yang ada dalam set data? Misalnya, jika l-diversity = 1, berarti semua orang memiliki atribut sensitif yang sama, jika l-diversity = 2, berarti semua orang memiliki salah satu dari dua atribut sensitif, dan seterusnya.
Resource l-diversity
Untuk mengetahui informasi selengkapnya tentang l-diversity, lihat l-Diversity: Privacy Beyond k-Anonymity, oleh Ashwin Machanavajjhala, Johannes Gerke, dan Daniel Kifer dari Departemen Ilmu Komputer Cornell University.
Untuk mempelajari cara menghitung l-diversity dengan Sensitive Data Protection, lihat Menghitung l-diversity untuk set data.
Tentang k-map
k-map sangat mirip dengan k-anonymity, kecuali bahwa peta ini mengasumsikan bahwa penyerang kemungkinan besar tidak mengetahui siapa yang ada dalam set data. Gunakan k-map jika set data Anda relatif kecil, atau jika tingkat upaya yang diperlukan dalam menggeneralisasi atribut terlalu tinggi.
Sama seperti k-anonymity, k-map mengharuskan Anda menentukan kolom mana dari database Anda yang merupakan quasi-identifier. Dengan melakukan ini, Anda menyatakan data apa yang kemungkinan besar akan digunakan penyerang untuk mengidentifikasi ulang subjek. Selain itu, penghitungan nilai peta k memerlukan set data untuk mengidentifikasi ulang: tabel yang lebih besar untuk membandingkan baris dalam set data asli.
Perhatikan contoh set data kecil berikut. Data sampel ini adalah bagian dari database hipotetis yang lebih besar, yang dikumpulkan dari survei yang jawabannya menyertakan informasi sensitif.
| Kode pos (ZIP code) | age |
|---|---|
| 85535 | 79 |
| 60629 | 42 |
Jika dilihat secara terpisah, jumlah informasi ini tampaknya sama untuk kedua individu. Bahkan, mempertimbangkan k-anonymity untuk set data yang lebih besar dapat menyebabkan pernyataan bahwa subjek yang sesuai dengan baris kedua sangat dapat diidentifikasi. Namun, jika Anda mundur dan mempertimbangkan datanya, Anda akan menyadari bahwa hal itu tidak benar. Secara khusus, pertimbangkan kode pos Amerika Serikat 85535, yang saat ini dihuni oleh sekitar 20 orang. Mungkin hanya ada satu orang yang berusia tepat 79 tahun yang tinggal di kode pos 85535. Bandingkan dengan kode pos 60629, yang merupakan bagian dari area metropolitan Chicago dan menampung lebih dari 100.000 orang. Ada sekitar 1.000 orang yang berusia tepat 42 tahun di kode pos tersebut.
Baris pertama dalam set data kecil kami mudah diidentifikasi ulang, tetapi tidak dengan baris kedua. Namun, menurut k-anonymity, kedua baris tersebut mungkin sepenuhnya unik dalam set data yang lebih besar.
k-map, seperti k-anonymity, mengharuskan Anda menentukan kolom database mana yang merupakan quasi-identifier. API analisis risiko Sensitive Data Protection menyimulasikan set data identifikasi ulang untuk memperkirakan langkah-langkah yang mungkin dilakukan penyerang untuk membandingkan set data asli guna mengidentifikasi ulang data. Untuk contoh sebelumnya, karena berkaitan dengan lokasi di AS (kode pos) dan data pribadi (usia), dan karena kami berasumsi bahwa penyerang tidak mengetahui siapa yang berpartisipasi dalam survei, set data identifikasi ulang dapat berupa semua orang yang tinggal di AS.
Setelah memiliki quasi-identifier dan set data re-identifikasi, Anda dapat menghitung nilai k-map: Data Anda memenuhi k-map dengan nilai k jika setiap kombinasi nilai untuk quasi-identifier muncul setidaknya k kali dalam set data re-identifikasi.
Berdasarkan definisi ini, dan bahwa baris pertama dalam database kita kemungkinan hanya sesuai dengan satu orang di AS, set data contoh tidak memenuhi persyaratan nilai peta k sebesar 2 atau lebih. Untuk mendapatkan nilai peta-k yang lebih besar, kita dapat menghapus nilai usia seperti yang telah kita lakukan di sini:
| Kode pos (ZIP code) | age |
|---|---|
| 85535 | ** |
| 60629 | ** |
Seperti yang disebutkan sebelumnya, kode pos 85535 memiliki sekitar 20 orang dan 60629 memiliki lebih dari 100.000 orang. Oleh karena itu, kita dapat memperkirakan bahwa set data baru yang digeneralisasi ini memiliki nilai peta k sekitar 20.
Resource k-map
Untuk mengetahui informasi selengkapnya tentang peta k dan hubungannya dengan anonimitas k, lihat Protecting Privacy Using k-Anonymity, oleh Khaled El Emam dan Fida Kamal Dankar, di Journal of the American Medical Informatics Association.
Untuk mempelajari cara menghitung estimasi peta k dengan Sensitive Data Protection, lihat Menghitung peta k untuk set data.
Tentang kehadiran δ
Kehadiran delta (δ-presence) memperkirakan risiko yang terkait dengan penyerang yang ingin mengetahui apakah targetnya ada dalam set data. Hal ini sedikit berbeda dengan risiko identifikasi ulang karena tujuannya bukan untuk menemukan data yang tepat yang sesuai dengan individu, melainkan hanya untuk mengetahui apakah individu tersebut merupakan bagian dari set data. Penggunaan metrik ini sangat sesuai jika semua individu dalam set data memiliki atribut sensitif yang sama; misalnya, mereka semua memiliki diagnosis medis yang sama.
Seperti metrik risiko lainnya, δ-presence mengharuskan Anda menentukan kolom mana dari database Anda yang merupakan quasi-identifier. Dengan melakukan ini, Anda menyatakan data apa yang kemungkinan besar akan digunakan penyerang untuk mengetahui individu mana yang ada dalam set data. Seperti k-map, komputasi δ-presence memerlukan set data serangan: tabel yang lebih besar untuk membandingkan baris dalam set data asli.
Perhatikan contoh set data kecil berikut. Data sampel ini adalah bagian dari database hipotetis yang lebih besar tentang orang-orang dengan penyakit genetik tertentu.
| Kode pos (ZIP code) | age |
|---|---|
| 85942 | 72 |
| 85942 | 72 |
| 62083 | 53 |
Di Amerika Serikat, kode pos 85942, ada sekitar 2 orang berusia 72 tahun, dan di kode pos 62083, ada sekitar 5 orang berusia 53 tahun. Dua kumpulan data pertama tidak dapat diidentifikasi ulang secara persis karena keduanya memiliki quasi-identifier yang sama. Namun, karena hanya dua individu yang memiliki quasi-identifier ini dalam populasi yang lebih besar, penyerang dapat menyimpulkan bahwa keduanya menderita penyakit genetik. δ-presence mengukur risiko khusus ini dengan menghitung rasio orang dengan quasi-identifier tertentu yang ada dalam set data.
δ-presence, seperti metrik risiko lainnya, mengharuskan Anda menentukan kolom database mana yang merupakan quasi-identifier. Dan seperti untuk estimasi peta k, API analisis risiko Sensitive Data Protection menyimulasikan set data populasi untuk memperkirakan set data yang mungkin digunakan penyerang untuk mengetahui siapa yang ada dalam set data. Untuk contoh sebelumnya, karena berkaitan dengan lokasi di AS (kode pos) dan data pribadi (usia), dan karena kami berasumsi bahwa penyerang tidak mengetahui siapa yang memiliki penyakit genetik, set data populasi ini dapat berupa semua orang yang tinggal di AS.
Setelah memiliki quasi-identifier dan set data re-identifikasi, Anda dapat menghitung nilai kehadiran δ: data Anda memenuhi kehadiran δ dengan nilai δ jika setiap kombinasi nilai untuk quasi-identifier muncul paling banyak δ * k kali dalam set data Anda, dengan k adalah jumlah total orang dengan nilai quasi-identifier ini dalam set data populasi. Tidak seperti k dalam k-anonymity atau k-map, δ dalam δ-presence adalah bilangan real antara 0 dan 1.
Berdasarkan definisi ini, dan bahwa kedua orang berusia 72 tahun di kode pos 85942 dalam populasi umum juga ada dalam database kami, set data ini tidak memenuhi kehadiran δ untuk δ yang benar-benar lebih kecil dari 1. Untuk mendapatkan nilai kehadiran δ yang lebih rendah, kita dapat menghapus nilai usia dari dua baris pertama:
| Kode pos (ZIP code) | age |
|---|---|
| 85942 | ** |
| 85942 | ** |
| 62083 | 53 |
Sekarang, karena 80 orang tinggal di kode pos 85942, nilai δ untuk dua data pertama adalah sekitar 2 / 80 = 2,5%; dan nilai δ untuk data ketiga adalah sekitar 1 / 5 = 20%. Oleh karena itu, kita dapat memperkirakan bahwa set data baru yang digeneralisasi ini memiliki nilai kehadiran δ sekitar 20%.
Resource kehadiran δ
Untuk mengetahui informasi selengkapnya tentang estimasi kehadiran δ berdasarkan data statistik, lihat δ-Presence Without Complete World Knowledge, oleh Mehmet Ercan Nergiz dan Chris Clifton dari Department of Computer Science Technical Reports Purdue University.
Untuk mempelajari cara menghitung estimasi kehadiran δ dengan Sensitive Data Protection, lihat Menghitung kehadiran δ untuk set data.