# 統計的開示制御 ## 定義 統計的開示制御(Statistical Disclosure Control, SDC)とは、統計データベースへの照会結果や公開統計表から、個々のデータ主体に関する機微な情報が(直接または推論により)開示されることを防ぐ技法の総称である。1920年代の企業別経済統計の秘匿に始まり、1970〜80年代の米国国勢調査を主な題材にDorothy Denningらによって体系化された。核となる形式化は、開示される統計の集合Dと機微であり保護すべき統計の集合Pについて、D⊆P′(Pの補集合)が成立することを要求するというものであり、D=P′のとき保護は「精密(precise)」と呼ばれる。精密な保護は原則として望ましいが、データベースが答えられるクエリの範囲を犠牲にする。保護は(1)公開前に一括して行うか(例:1960年代までの米国国勢調査のサンプルテープ)、(2)クエリのたびに動的に許可判定するか、の2方式に分かれるが、数学的には同型の問題である。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 11 Inference Control]] §11.2) 主な技法は以下の系譜を持つ。**クエリ集合サイズ制御**(回答計算に使うレコード数が閾値t未満なら回答しない)は最も単純だが、部分集合の差分をとる追跡子(tracker)攻撃に単独では敗れる。**一般追跡子**は、最小クエリ集合サイズnが総統計数Nの4分の1未満であれば必ず構成可能であることが示されており(query auditingはNP完全問題)、クエリ集合サイズ制御だけでは不十分であることの理論的根拠になっている。**相補的セル抑制**(Tore Dalenius)は、機微なセルだけでなく、他の公開値から逆算されうる関連セルも連鎖的に抑制する手法で、m属性のスキーマでは1セルの秘匿が2^m−1個の他セルの抑制を招きうる。**k-匿名性**(Pierangela Samarati, Latanya Sweeney)は、公開データの各個人がk−1人と区別不能であることを要求する操作的な定義であり、implied query control・maximum order controlといった補助的なクエリ制御と組み合わせて運用される。**ランダム化**(摂動・controlled tabular adjustment・ランダムサンプルクエリ・スワッピング)は、クエリ制御単独では実用上の統計性能が犠牲になりすぎる場合に、シグナル対ノイズ比を劣化させることで補完する。2006年以降はこれらのアドホックな手法群に代わり、[[差分プライバシー]]が保護量を数学的に定量化する理論として台頭した。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 11 Inference Control]] §11.2.1〜§11.2.1.6) ## 横断的知見 - **k-匿名性は「操作的な定義」であり「数学的なプライバシー特性の定義」ではない、という限界の指摘は、別ソースが示す「ドメインごとのk値選定という運用実務」を理論面から補強する**: 本ページが集約するSecurity Engineering第11章は、k-匿名性がk個の個人を区別不能にするという操作的定義にとどまり、k人全員が同一の機微属性を共有していれば実質的に無防備になるという構造的限界を指摘する(§11.2.1.4)。これに対し[[差分プライバシー]]が集約する『信頼性の高い機械学習』第6章は、k-匿名性を「誕生日を月・年単位で報告する」等の具体的なバケット化手法として説明し、推奨kのサイズが医療分野で最低5〜50超と領域依存で変わることを実務的に述べる。前者が「kをいくら大きくしても解決しない構造的弱点(属性の一様性)」を理論面で明らかにし、後者が「kの選び方はドメインのリスクに応じて変わる」という運用面の指針を与えており、両者を合わせるとk-匿名性は「kの数値選定」と「属性の多様性」という独立した2軸で評価しなければならないことがわかる。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 11 Inference Control]] §11.2.1.4, [[@2024__OReillyJapan__信頼性の高い機械学習 - Chapter 6 公正さ、プライバシー、倫理的なMLシステム]] §6.2) - **「プライバシーメカニズムは合成されない」という古典的統計的開示制御の実証的な失敗と、差分プライバシーが謳う「合成可能性(composability)」という設計原理は、同じ問題(複数の保護機構への同時アクセス)に対する正反対の結果を示す**: Security Engineering第11章は、Source Informaticsの処方薬データベースで、個別には安全だった2つの脱識別化システムに同時アクセスできる製薬会社が、両者を突き合わせることで一部医師の処方傾向を推定できてしまった実例を報告する(§11.2.2)。これに対し[[差分プライバシー]]が集約するPrvTelの理論は、DPの後処理不変性定理により複数のDP機構を合成してもε₁+ε₂-DPとしてプライバシー損失を追跡可能であることを数学的に保証する。前者はアドホックな摂動手法が「合成に対して脆弱」であることの実例であり、後者は差分プライバシーが「合成を前提に設計された」ことの理論的根拠であって、2006年の差分プライバシー登場が単なる精度向上ではなく、まさにこの合成問題への解答として位置づけられることを裏付ける。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 11 Inference Control]] §11.2.2, [[@2026__NSDI__PrvTel - Lightweight Models for Private and Accurate Telemetry Data Retention]] Theorem 2) ## 未解決の問い - 一般追跡子が「最小クエリ集合サイズnが総統計数Nの4分の1未満」で必ず存在するという1970年代の結果は、現代の大規模・高次元データベース(数百万属性、機械学習特徴量を含む)にどこまで一般化されるか。本章はこの結果を古典的な統計データベースの文脈でのみ論じており、高次元データでの再検証は行われていない。 - クエリオーバーラップ制御(利用者の既知情報を追跡して開示を防ぐ方式)は複雑性が指数的に増大し、複数アカウントの共謀や乗っ取りを検出できないという実務上の欠陥を本章は指摘するが、この欠陥は現代のアクセスログ分析・異常検知技術(→関連: 統合監視)でどこまで緩和可能か。 - k-匿名性の「属性の一様性」問題(l-多様性等の拡張)は本章では深掘りされていない。l-diversity・t-closenessのような拡張手法を扱う一次資料が本wikiに ingest されたら、この問いへの接続を検証したい。 ## 関連 - ソース: [[@2020__Wiley__Security Engineering 3e - Chapter 11 Inference Control]](§11.2〜§11.2.1.6) - 概念: [[差分プライバシー]](2006年以降にアドホックな統計的開示制御を代替する理論) / [[匿名化の失敗と再識別]](本ページの技法が実際にどう破られたかの事例集約) / [[セキュリティ設計原則]](精密な保護とユーザビリティのトレードオフという設計原則との接続) ## 出典 - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 11, §11.2〜§11.2.1.6.