Protezione della riservatezza in basi di dati

Transcript

1 WORKSHOP Connessione in rete: sicurezza informatica e riservatezza Protezione della riservatezza in basi di dati E. Bertino

2 Protezione della Riservatezza in Basi di Dati Page 1

3 Rilascio di Informazioni Il rilascio dei dati provoca divulgazione quando dati che dovrebbero essere trattati come confidenziali sono resi noti La divulgazione può: - essere basata solamente sui dati rilasciati - risultare dalla combinazione di dati rilasciati con informazione pubblicamente disponibile Page 2

4 Metodi di rilascio - tabelle Ogni entrata in una tabella rappresenta il valore aggregato di una quantità su tutte le unità di analisi che appartengono ad un unica cella Due categorie di tabelle: tabelle di frequenza (count) tabelle di grandezze (magnitude data) Page 3

5 Tabella di frequenza - esempio Esempio - numero di beneficiari di un certo benefit per importo e per contea Importo Contea $0-19 $20-39 $40-59 $60-79 $80-99 $100+ Totale A B C D Page 4

6 Metodi di rilascio - microdati Un file di microdati è composto da record individuali ognuno contenente valori di variabili per una singola persone, entità commerciale, o altra unità Page 5

7 File di microdati - esempio Esempio - tutti i record della contea Alfa relativi a bambini delinquenti N Bambino Contea Educ. CF Stipendio CF Razza CF 1 John Alfa Molto alto 201 nera 2 Jim Alfa Alto 103 bianca 3 Sue Alfa Alto 77 nera 4 Pete Alfa Alto 61 bianca 5 Ramesh Alfa Medio 72 bianca 6 Dante Alfa Basso 103 bianca 7 Virgil Alfa Basso 91 nera 8 Wanda Alfa Basso 84 bianca 9 Stan Alfa Basso 75 bianca 10 Irmi Alfa Basso 62 nera 11 Renee Alfa Basso 58 bianca 12 Virginia Alfa Basso 56 nera 13 Mary Alfa Basso 54 nera 14 Kim Alfa Basso 52 bianca 15 Tom Alfa Basso 55 nera 16 Ken Alfa Basso 48 bianca 17 Mike Alfa Basso 48 bianca 18 Joe Alfa Basso 41 nera 19 Jeff Alfa Basso 44 nera 20 Nancy Alfa Basso 37 bianca Page 6

8 Divulgazione di informazione Divulgazione è l attribuzione impropria di informazione ad un oggetto, sia esso individuo o organizzazione Tipi di divulgazione: divulgazione di identità divulgazione di attributo divulgazione inferenziale Page 7

9 Dati ristretti ed accesso ristretto La confidenzialità può essere protetta restringendo la quantità di informazione nelle tabelle o file di microdati - dati ristretti imponendo condizioni sull accesso ai dati prodotti - accessi ristretti combinazione dei due metodi precedenti Page 8

10 Protezione di tabelle di frequenza I dati raccolti da molti survey sulla popolazione sono pubblicati in tabelle che presentano somme (numero di persone per categoria) o frequenze (frazioni o percentuali di persone per categorie) Tecniche di protezione includono - regole di soglia - regole speciali Page 9

11 Regole di soglia Una cella di una tabella è definita sensitiva se il numero dei rispondenti è minore di un certo numero specificato (ad esempio 5, oppure 3) Le celle sensitive non possono essere rilasciate Per soddisfare tale regola, si possono usare varie tecniche - soppressione di celle - ristrutturazione di tabelle e combinazione di categorie - arrotondamento casuale - inserimento confidenziale Page 10

12 Tabella con divulgazione Esempio - numero di bambini delinquenti per contea e livello di educazione del capo famiglia celle con meno di 5 rispondenti sono considerate sensitive Livello di educazione Contea Basso Medio Alto Molto Alto Totale Alfa Beta Gamma Delta Totale Page 11

13 Soppressione di celle Una delle tecniche maggiormente diffuse è quella della soppressione di celle L uso della soppressione primaria non è tuttavia spesso sufficiente a garantire protezione Almeno un altra cella deve essere soppressa - soppressione complementare - per ogni riga e colonna nella quale è stata soppressa una cella sensitiva Anche in presenza di soppressione complementare è difficile garantire che il risultato fornisca protezione adeguata Page 12

14 Tabella con divulgazione non protetta da soppressione Esempio - numero di bambini delinquenti per contea e livello di educazione del capo famiglia Livello di educazione Contea Basso Medio Alto Molto Alto Totale Alfa 15 D1 D2 D3 20 Beta 20 D4 D Gamma D D7 25 Delta D D9 35 Totale Sembra garantire protezione ma. (15 + D1 + D2 + D3) + (20 + D4 + D5 + 15) - (D1 + D ) - (D2 + D ) = ===> D3 =1 Page 13

15 Soppressione di celle La scelta delle celle da eliminare con soppressione complementare è più complicata di quanto appare Tecniche di programmazione lineare sono utilizzate per la scelta automatica di celle da eliminare con soppressione complementare Tecniche di audit possono essere utilizzate per valutare la bontà della soppressione per vedere se fornisce protezione adeguata Page 14

16 Tabella con divulgazione protetta da soppressione Esempio - numero di bambini delinquenti per contea e livello di educazione del capo famiglia Livello di educazione Contea Basso Medio Alto Molto Alto Totale Alfa 15 D D D 20 Beta Gamma D D 10 D 25 Delta D 14 D D 35 Totale La tabella garantisce protezione, ma delle 16 celle componenti la tabella solo 7 sono pubblicate, mentre 9 sono soppresse Page 15

17 Regole speciali Impongono restrizioni sul livello di dettaglio che può essere riportato in una tabella Esempio - Social Sec. Administration proibisce tabelle nelle quali i dettagli di una cella sono uguali al totale parziale o permetterebbero all utente di determinare l età di un individuo all interno di un intervallo di 5 anni, stipendi all interno di un intervallo di $1000 o benefits all interno di un intervallo di $50 Page 16

18 Regole speciali Esempio - numero di beneficiari per importo e contea Importo Contea $0-19 $20-39 $40-59 $60-79 $80-99 $100+ Totale A B C D Non può essere pubblicata. I dati per B e D violano le regole per D esiste una sola cella non vuota, la cella dettagliata è uguale al totale per B ci sono due celle non vuote ma l intervallo dei possibili benefit è tra $40 e $79. Tale intervallo è più piccolo dei $50 consentiti Page 17

19 Regole speciali per evitare divulgazione non autorizzata i dati delle contee possono essere combinati la combinazione di categoria ( rolling-up categories) può essere effettuata per righe e per colonne Importo Contea $0-19 $20-39 $40-59 $60-79 $80-99 $100+ Totale A&B C&D Page 18

20 Microdati un metodo alternativo alle tabelle per pubblicare risultati raccolti da censimenti o survey è quello di rilasciare file di microdati di uso pubblico sempre più spesso oggi i dati sono rilasciati in forma di microdati i microdati risultano più convenienti per i riceventi dell informazione che possono calcolare statistiche in base ai loro bisogni Page 19

21 Microdati È noto o che la protezione dei microdati è più complessa della protezione di tabelle una delle principali difficoltà nella protezione dei microdati è la possibilità di combinare l informazione rilasciata con altra informazione disponibile non esistono misure largamente accettate per ridurre il rischio di divulgazione per i microdati, quindi non esistono standard che potrebbero essere applicati per valutare se una protezione è adeguata Page 20

22 Tecniche di protezione per microdati Per ridurre la possibilità di divulgazione, la maggior parte dei file di microdati rilasciati: include dati solo di un campione della popolazione non include identificatori espliciti limita i dettagli geografici limita il numero di variabili del file Page 21

23 Tecniche di protezione per microdati Metodi addizionali includono: codifica al massimo e minimo aggiunta o moltiplicazione per numeri casuali (noise) scambio (swapping) registrazione per intervalli o arrotondamenti aggregazione per piccoli gruppi di rispondenti e sostituzione dei valori individuali con la media (blurring) Page 22

24 Basi di dati statistiche Un DB statistico mantiene i dati on-line in un DBMS (generalmente relazionale) che effettua controlli di inferenza dinamicamente le relazioni in un DB statistico sono simili ai file di microdati ma mantengono specifiche informazioni sensitive, quali stipendio, che possono essere rilasciate solo in forma statistica molti DB statistici sono usati solo per scopi statistici; altri sono utilizzati per scopi più generali, permettendo sia accesso statistico che non statistico Page 23

25 Query statistiche Le query statistiche richiedono l applicazione di funzioni statistiche (sum, count, median, avg) applicate a sottoinsiemi della base di dati la dimensione del query set è il numero di record ai quali la funzione è applicata l insieme dei record ai quali applicare la funzione è specificato attraverso una funzione caratteristica, che è una formula logica sui valori degli attributi esempio: Funzione caratteristica C1 = (sex=male) AND ((Major=CS) OR (Major = EE)) C1 = 6 Page 24

26 Basi di dati statistiche La risposta ad una o più query statistiche può divulgare informazione riservata l inferenza che un utente può effettuare è spesso basata su conoscenza esterna per proteggere la riservatezza, il DBMS può restituire la risposta precisa, una risposta approssimata, o non restituire alcuna risposta uno degli ostacoli principali nel proteggere le basi di dati da divulgazione è dato dall inferenza che potrebbe essere effettuata mediante la sovrapposizione di più richieste Page 25

27 Statistiche sensitive Una statistica è sensitiva se divulga informazione confidenziale circa entità rappresentate nel DB una statistica su un query set di dimensione 1 è sempre sensitiva una statistica calcolata su un insieme di due elementi può essere considerata sensitiva, perché un utente con conoscenza addizionale circa uno dei due valori potrebbe inferire l altro Page 26

28 Statistiche sensitive Un altra possibile politica è basata sulla la regola (n,k) che per n-rispondenti k%-dominazione, definisce sensitiva una statistica se n o meno dei valori contribuisce al k% del totale esempio: statistica che dà la somma delle entrate di IBM e di qualche piccolo produttore potrebbe essere sensitiva alla regola 1-rispondente 99%-dominazione Il suo rilascio potrebbe fornire informazioni sulle entrate dell IBM (cifre più significative) Page 27

29 Misure di protezione Controllo sulla dimensione della query - in generale query su set piccoli sono proibite Se il linguaggio di query permette l utilizzo di negazioni, allora anche query set molto grandi devono essere proibiti, altrimenti gli utenti potrebbero inferire informazioni usando NOT C In generale una query statistica q(c) è permessa solo se n < C < N-n dove n è un parametro (intero positivo) fissato Page 28

30 Conclusioni Le specifiche misure di protezione dei dati dipendono dalla specifica tecnica usata per rilasciare i dati Sono state definite numerosissime tecniche Problemi aperti: protezione dei dati a fronte di analisi tramite tecniche di data mining Page 29