Dagens globalt nätverkade samhälle ställer stora krav på spridning och utbyte av information. Även om tidigare släppt information främst var i tabellform och statistisk form, många situationer kräver idag att specifika data (mikrodata). För att skydda anonymiteten hos de enheter (kallade respondenter) till vilka information hänvisar, tar datainnehavarna ofta bort eller krypterar explicita identifierare som namn, adresser och telefonnummer. Avidentifierande uppgifter ger dock ingen garanti för anonymitet. Utlämnad information innehåller ofta andra uppgifter, såsom ras, födelsedatum, kön och ZIP-kod, som kan kopplas till offentligt tillgänglig information för att på nytt identifiera respondenter och sluta sig till information som inte var avsedd för offentliggörande. I detta dokument tar vi upp problemet med att släppa mikrodata samtidigt som anonymiteten hos de respondenter som uppgifterna hänvisar till skyddas. Metoden bygger på definitionen av k-anonymitet. En tabell ger k-anonymitet om man försöker länka uttryckligen identifiera information till dess innehåll kartlägga informationen till åtminstone k-enheter. Vi illustrerar hur k-anonymitet kan tillhandahållas utan att äventyra integriteten (eller sannfärdigheten) av den information som frigörs med hjälp av generalisering och undertryckande tekniker. Vi introducerar begreppet minimal generalisering som fångar egenskapen hos utgivningsprocessen för att inte förvränga data mer än vad som behövs för att uppnå k-anonymitet, och presentera en algoritm för beräkning av en sådan generalisering. Vi diskuterar också möjliga preferenspolicyer att välja bland olika minimala generaliseringar. Privacy, Data Anonymity, Disclosure Control, Microdata Release, Inference, Record Linkage, Security, Information Protection. Information är i dag förmodligen den viktigaste och mest efterfrågade resursen. Vi lever i ett internetarbetat samhälle som bygger på spridning och utbyte av information inom såväl den privata som den offentliga och den offentliga sektorn. Statliga, offentliga och privata institutioner är i allt högre grad skyldiga att göra sina uppgifter elektroniskt tillgängliga [8, 18]. Om tidigare denna spridning och utbyte av information främst var i statistiska och tabulära företag, offentliga kontor, kommersiella organisationer, och så vidare. För att skydda integriteten för respondenterna (individer, organisationer, föreningar, företag, och så vidare) som uppgifterna hänvisar till, släpps data i allmänhet "sanitized" genom att ta bort alla explicita identifierare såsom namn, adresser och telefonnummer. Även om de avidentifierade uppgifterna till synes är anonyma kan de innehålla andra uppgifter, såsom ras, födelsedatum, kön och ZIP-kod, som unikt eller nästan unikt hänför sig till specifika respondenter (dvs. enheter som uppgifterna avser) och få dem att skilja sig från andra [13]. Genom att koppla dessa identifierande egenskaper till allmänt tillgängliga databaser som kopplar dessa egenskaper till den svarandes identitet, kan uppgiftsmottagarna avgöra till vilken svarande varje del av utgivna data hör, eller begränsa deras osäkerhet till en viss delmängd av individer. Den stora mängd information som är lätt tillgänglig idag och den ökade beräkningskraft som finns tillgänglig för angriparna gör sådana länkning attacker till ett allvarligt problem. Information om oss samlas in varje dag, när vi går föreningar eller grupper, handlar mat eller utför de flesta av våra gemensamma dagliga aktiviteter [7, 8]. Man har beräknat att det i Förenta staterna för närvarande finns omkring fem miljarder privatägda register som beskriver varje medborgares ekonomi, intressen och demografi. Informationskontor som TRW, Equifax och Trans Union har de största och mest detaljerade databaserna över amerikanska konsumenter. De flesta kommuner säljer befolkningsregister som inkluderar individers identiteter tillsammans med grundläggande demografi; exempel inkluderar lokala folkräkningsuppgifter, röstlistor, stadskataloger och information från bilbyråer, skattebedömare och fastighetsbyråer. I vissa stater är det idag möjligt att få tillgång till både körkort och registreringsskyltar för en $25 avgift. Typiska uppgifter i dessa databaser kan innehålla namn, socialförsäkringsnummer, födelsedatum, adresser, telefonnummer, familjestatus samt arbets- och lönehistorik. Dessa uppgifter, som ofta distribueras eller säljs offentligt, kan användas för att länka identiteter och avidentifierad information, vilket gör det möjligt att på nytt identifiera respondenterna. Den begränsade tillgången till information och den dyra behandlingen av den, både i tid och resurser, som tidigare utgjorde en form av skydd, håller inte längre. Det är i dag inte svårt för en uppgiftsmottagare att kombinera de "avidentifierade" mikrouppgifterna med andra offentligt tillgängliga uppgifter (t.ex. röstlängdsregister). Denna situation har gett upphov till särskilda farhågor på det medicinska och finansiella området, där mikrodata, som i allt högre grad övergår till cirkulation eller forskning, kan utsättas för eller har utsatts för missbruk som äventyrar enskilda personers privatliv [2, 8, 12, 21]. För att illustrera problemet exemplifierar figur 1 en tabell med medicinska data som skall lämnas ut. Uppgifterna har avidentifierats genom att namn och personnummer för social trygghet har utelämnats, så att identiteterna för de personer som uppgifterna avser inte avslöjas. Men värden av andra släppta attribut, såsom ZIP, DateOfBirth, Race, Sex, och MaritalStatus kan också visas i någon extern tabell tillsammans med den individuella identiteten, och
Vårt mål är att hitta den minimala k-anonyma generaliseringen (tabellen) enligt definitionen av minimalitet definieras av Samarati REF.
Protecting respondents’ identities in microdata release
{'venue': 'In IEEE Transactions on Knowledge and Data Engineering (TKDE', 'journal': None, 'mag_field_of_study': ['Computer Science']}