Statistics-Friendly Confidentiality Protection for Establishment Data, with Applications to the QCEW

1. 문제 제기 (Problem)

• 기업 데이터의 특수성: 기업 데이터 (예: 고용 및 임금 통계) 는 개인 데이터와 달리 '아웃라이어'인 대기업의 정보가 경제 통계에 결정적인 역할을 합니다. 따라서 대기업의 존재를 숨기는 것 (Membership Inference) 보다는, 그 기업의 정확한 속성 (고용 인원, 임금 등) 을 추론하는 것을 막는 것이 중요합니다.
• 기존 방법의 한계:
  • 셀 서프레션 (Cell Suppression): 현재 미국 노동통계국 (BLS) 의 QCEW(Quarterly Census of Employment and Wages) 에서 사용하는 방식입니다. 민감한 셀을 삭제하지만, 약 60% 이상의 데이터가 삭제되어 유용성 (Utility) 이 심각하게 떨어집니다.
  • 개인화 차분 프라이버시 (Personalized DP): 대기업에는 약한 프라이버시 파라미터를, 중소기업에는 강한 파라미터를 적용하는 방식이 제안되었습니다. 하지만 이는 "어떤 기업은 다른 기업보다 보호가 약하다"는 정책적으로 수용하기 어려운 문제를 야기합니다.
  • 기존 DP 의 부적합성: 표준 DP 는 모든 엔티티에 대해 동일한 '존재 여부' 보호를 제공하도록 설계되어 있어, 대기업의 기여도를 흐리게 만들거나 중소기업의 상대적 오차를 과도하게 만들어 실용성이 떨어집니다.

2. 방법론 (Methodology)

저자들은 **가우시안 기업 차분 프라이버시 (Gaussian Establishment DP, gedp)**라는 새로운 프라이버시 정의를 제안합니다.

2.1 핵심 개념: 이웃 함수 (Neighbor Function, $\psi$)

• 불확실성 구간 (Uncertainty Interval): 기업 데이터의 보호는 "진짜 값 $x$가 $x$와 '가까운' 값 $y$인지 구별하기 어렵게 만드는 것"으로 정의됩니다. 여기서 '가까움'은 고정된 절대 오차가 아닌, 기업 규모에 따라 달라지는 불확실성 구간으로 정의됩니다.
• $\psi$ 함수의 역할: 데이터 큐레이터는 이웃 함수 $\psi$를 지정하여 불확실성 구간을 정의합니다.
  • 작은 기업: 상대적으로 큰 상대 오차 (Relative Error) 허용 (예: 소규모 식당은 고용 인수가 10 명인지 12 명인지 구별하기 어려움).
  • 큰 기업: 상대적으로 작은 절대 오차, 즉 큰 절대 오차 (Absolute Error) 허용 (예: 디즈니랜드는 36,000 명인지 36,500 명인지 구별하기 어려움).
• 추천 함수: 저자들은 $\psi(x) = \sqrt{x}$ (제곱근 변환) 를 강력하게 권장합니다. 이는 공격자가 외부 정보 (예: 표본 조사) 를 통해 얻을 수 있는 오차의 통계적 특성 ($O(\sqrt{x})$) 과 일치하며, 로그 함수 ($\psi(x)=\log x$) 보다 작은 기업에 대한 과도한 보호와 큰 기업에 대한 보호 부족 문제를 해결합니다.

2.2 쿼리 응답 메커니즘

제안된 프레임워크 내에서 두 가지 쿼리 응답 메커니즘을 개발했습니다.

1. $\psi$-메커니즘 ($\psi$-mechanism):
   • 쿼리 결과에 가우시안 노이즈를 추가합니다.
   • 단점: 노이즈의 분산이 실제 데이터 값에 의존하므로 (Data-dependent variance), 분산 값을 정확히 공개하면 프라이버시가 침해될 수 있어 분산을 공개할 수 없습니다.
2. pnc-메커니즘 (Probably-No-Clipping mechanism):
   • $\psi$-메커니즘을 기반으로 작동하며, 추가적인 쿼리에 대한 분산을 안전하게 공개할 수 있는 특징이 있습니다.
   • 작동 원리: 먼저 $\psi$-메커니즘을 사용하여 각 기업의 값에 대한 고확률 상한선 (Upper Bound) 을 추정합니다. 그 후, 실제 집계 시 이 상한선으로 값을 클리핑 (Clipping) 하고, 클리핑된 값의 민감도에 기반하여 노이즈를 추가합니다.
   • 장점: 분산이 공개 가능하므로, 통계 기관이 노이즈가 포함된 답변의 신뢰도를 평가하고 이를 통해 프라이버시 보호가 유지된 마이크로데이터 (Microdata) 를 생성하는 데 유리합니다.

3. 주요 기여 (Key Contributions)

1. Gaussian Establishment DP (gedp) 정의: 기업 데이터의 특성에 맞춘 새로운 프라이버시 정의로, 기업 규모에 따른 불확실성 구간을 명시적으로 정의하고 가우시안 DP 를 기반으로 통계적 검정력 (Statistical Power) 을 측정합니다.
2. $\sqrt{x}$ 변환의 채택: 기존 상대 오차 중심 접근법 ($\log$) 의 한계를 극복하고, 공격자의 추론 능력과 데이터의 편향성을 고려한 $\sqrt{x}$ 변환을 제안하여 통계적 유용성과 프라이버시 보호의 균형을 최적화했습니다.
3. 새로운 메커니즘 개발:
   • 데이터 의존적 분산을 가진 $\psi$-메커니즘.
   • 분산을 안전하게 공개할 수 있어 통계적 분석에 유리한 pnc-메커니즘.
4. 실제 데이터 평가: 미국 노동통계국 (BLS) 과의 협력 계약을 통해 실제 기밀 QCEW 데이터와 공개 소스로 재구성한 합성 데이터를 사용하여 알고리즘을 검증했습니다.

4. 실험 결과 (Results)

• 데이터: 실제 QCEW 데이터 (고용 정보 위주) 와 합성 데이터 (뉴저지, 로드아일랜드, 고용 및 임금 포함) 를 사용했습니다.
• 성능 비교:
  • pnc-메커니즘 vs $\sqrt{x}$-메커니즘: pnc-메커니즘은 분산을 정확히 알 수 있어 편향 (Bias) 이 적고, 특히 대규모 집계 (State Total 등) 에서 $\sqrt{x}$-메커니즘보다 훨씬 높은 정확도를 보였습니다.
  • 기존 GDP(개인 단위) 와 비교: 기존 DP 방식은 대기업의 기여도를 흐리게 만들어 통계적 유용성이 거의 무의미해지는 반면, 제안된 gedp 기반 메커니즘은 대기업의 중요한 기여를 유지하면서 프라이버시를 보호했습니다.
  • 오차 분석: 소규모 그룹 (소규모 기업들이 포함된 그룹) 에서는 기밀성 보호를 위해 오차가 커질 수밖에 없으나, pnc-메커니즘은 전체적으로 더 균일하고 낮은 오차를 보여주었습니다.
• 마이크로데이터 생성: pnc-메커니즘을 통해 생성된 마이크로데이터는 추가적인 커스텀 테이블 생성에 활용 가능하며, 기존 셀 서프레션 방식보다 유연성이 뛰어났습니다.

5. 의의 및 결론 (Significance)

• 정책적 해석 가능성: "어떤 기업은 보호가 약하다"는 모순을 피하면서, 기업 규모에 따라 적절한 수준의 불확실성을 부여하는 정책적으로 수용 가능한 프레임워크를 제시했습니다.
• 통계적 실용성: 분산을 공개할 수 있는 pnc-메커니즘은 통계 기관이 노이즈가 포함된 데이터의 신뢰도를 평가하고, 이를 기반으로 추가적인 분석을 수행할 수 있게 하여 데이터의 활용 가치를 극대화합니다.
• 차분 프라이버시의 확장: 개인 데이터 중심의 차분 프라이버시 이론을 기업 데이터라는 새로운 영역에 성공적으로 적용하고, 데이터의 편향성 (Skewness) 을 고려한 메커니즘을 설계했다는 점에서 학문적, 실용적 가치가 큽니다.

결론적으로, 이 논문은 기업 데이터의 기밀성 보호를 위해 개인화 DP 의 문제점을 해결하고, 통계적 유용성을 극대화할 수 있는 새로운 이론적 틀과 실용적인 도구를 제시했습니다.