개인정보 비식별 조치와 프라이버시 모델
쉽게 말하면
개인정보를 분석에 쓰려면 누군지 알아볼 수 없게 가려야 해요. 이름을 바꾸고(가명처리), 합계만 남기고(총계처리), 일부를 지우고(삭제), 나이를 30대처럼 뭉뚱그리고(범주화), 가운데를 별표로 가려요(마스킹). 가린 뒤에도 '이 동네 30대 남자는 한 명뿐'이면 들통나니까, 비슷한 사람이 여럿 섞이게 됐는지 k-익명성 같은 기준으로 확인해요.
시험용 정의
비식별 조치는 데이터에서 개인을 알아볼 수 있는 요소를 삭제·대체해 다른 정보와 결합해도 특정 개인을 알아볼 수 없게 하는 일이다. 개인정보 비식별 조치 가이드라인은 사전 검토(개인정보인지, 식별자가 무엇인지) → 비식별 조치(가명처리·총계처리·데이터 삭제·데이터 범주화·데이터 마스킹) → 적정성 평가(k-익명성 등으로 재식별 가능성 평가) → 사후 관리(재식별 위험 모니터링, 안전 조치) 4단계를 제시한다. 적정성 평가에 쓰는 프라이버시 보호 모델은 k-익명성, l-다양성, t-근접성이다.
비유로 이해하기
학급 단체 사진에서 한 명만 빨간 옷이면 모자이크해도 누군지 안다. 빨간 옷을 입은 사람이 k명 이상이 되게 하는 것이 k-익명성, 빨간 옷 무리 안에서도 가방 색이 l가지 이상 섞이게 하는 것이 l-다양성, 무리 안 가방 색 비율이 반 전체 비율과 비슷하게 하는 것이 t-근접성이다.
자세히
비식별 조치 기법
| 기법 | 세부 기술 | 예 |
|---|---|---|
| 가명처리 | 휴리스틱 가명화, 암호화, 교환 방법 | 홍길동 → 회원 1023 |
| 총계처리 | 총계처리, 부분 총계, 라운딩, 재배열 | 개인 연봉 대신 부서 평균, 일부 값만 평균으로 |
| 데이터 삭제 | 식별자 삭제, 식별자 부분 삭제, 레코드 삭제, 식별 요소 전부 삭제 | 주민등록번호 열 삭제, 특이한 레코드 삭제 |
| 데이터 범주화 | 감추기, 랜덤 라운딩, 범위 방법, 제어 라운딩 | 35세 → 30~39세, 연봉 → 구간 |
| 데이터 마스킹 | 임의 잡음 추가, 공백과 대체 | 010-****-1234, 값에 작은 잡음 더하기 |
식별자와 속성자
식별자는 그 자체로 개인을 알아볼 수 있는 값(이름, 주민등록번호, 전화번호)이라 원칙적으로 삭제한다. 속성자는 하나로는 모르지만 다른 정보와 합치면 알아볼 수 있는 값(나이, 성별, 우편번호, 직업)이라 가명처리·범주화 등으로 위험을 낮춘다. 여러 속성자를 묶어 개인을 좁혀 가는 것을 준식별자 결합이라 한다.
프라이버시 보호 모델
| 모델 | 조건 | 막는 공격 | 남는 약점 |
|---|---|---|---|
| k-익명성 | 준식별자가 같은 레코드가 적어도 k개 | 연결 공격(다른 데이터와 맞춰 특정) | 동질성 공격, 배경지식 공격 |
| l-다양성 | 같은 묶음 안 민감정보가 적어도 l가지 | 동질성 공격, 배경지식 공격 | 쏠림 공격, 유사성 공격 |
| t-근접성 | 묶음 안 민감정보 분포와 전체 분포의 차이가 t 이하 | 쏠림 공격, 유사성 공격 | 데이터 쓸모가 줄 수 있음 |
공격 이름 정리
| 공격 | 어떻게 |
|---|---|
| 연결 공격 | 공개된 다른 데이터와 준식별자로 맞춰 개인을 찾음 |
| 동질성 공격 | 같은 묶음의 민감정보가 모두 같아 바로 알아냄 |
| 배경지식 공격 | 공격자가 아는 사실(그 사람은 위암일 리 없다)로 범위를 좁힘 |
| 쏠림 공격 | 묶음 안 민감정보가 한쪽으로 크게 쏠려 있어 높은 확률로 추측 |
| 유사성 공격 | 민감정보 값은 달라도 의미가 비슷해(위염·위암) 공통 사실을 알아냄 |
지금 쓰는 가이드라인
2020년 법 개정 뒤에는 개인정보보호위원회의 가명정보 처리 가이드라인이 쓰인다. 절차는 목적 설정 등 사전 준비 → 위험성 검토 → 가명처리 → 적정성 검토 → 안전한 관리다. 시험에서는 예전 비식별 조치 4단계와 기법 이름도 함께 나온다.
시험에 이렇게 나와요
- 4단계: 사전 검토 → 비식별 조치 → 적정성 평가 → 사후 관리
- 기법 5가지와 세부 기술 짝: 휴리스틱 가명화(가명처리), 라운딩(총계처리), 감추기·범위 방법(범주화), 잡음 추가(마스킹)
- k-익명성: 같은 레코드 k개 이상, 동질성·배경지식 공격에 약함
- l-다양성: 민감정보 l가지 이상, 쏠림·유사성 공격에 약함
- t-근접성: 묶음과 전체의 민감정보 분포 차이 t 이하
출제기준 1과목 '데이터 비식별화, 개인정보 활용'
확인 문제
Q1. 같은 우편번호·나이대인 사람이 5명씩 묶이도록 처리했는데, 그 5명의 병명이 모두 '당뇨'였다. 어떤 공격에 약한가?
- 중간자 공격
- 동질성 공격
- 서비스 거부 공격
- 무차별 대입 공격
정답 보기
2번 동질성 공격
k-익명성(k=5)은 지켰지만 묶음 안 민감정보가 모두 같아 누구든 병명을 알 수 있다. 이것이 동질성 공격이고, l-다양성으로 막는다.
Q2. 개인정보 비식별 조치 4단계 순서로 알맞은 것은?
- 사전 검토 → 비식별 조치 → 적정성 평가 → 사후 관리
- 사전 검토 → 적정성 평가 → 비식별 조치 → 사후 관리
- 비식별 조치 → 사전 검토 → 사후 관리 → 적정성 평가
- 적정성 평가 → 사전 검토 → 비식별 조치 → 사후 관리
정답 보기
1번 사전 검토 → 비식별 조치 → 적정성 평가 → 사후 관리
무엇이 식별자인지 먼저 보고, 조치한 뒤, 충분한지 평가하고, 계속 관리한다.
Q3. 나이 '37세'를 '30~39세'로 바꾸는 범위 방법은 어느 기법에 속하나?
- 데이터 마스킹
- 데이터 범주화
- 총계처리
- 가명처리
정답 보기
2번 데이터 범주화
구체적인 값을 범위나 범주로 바꾸는 것은 데이터 범주화다.
Q4. 값에 임의의 작은 잡음을 더해 원래 값을 숨기는 기술은 어느 기법인가?
- 데이터 삭제
- 데이터 마스킹
- 총계처리
- 가명처리
정답 보기
2번 데이터 마스킹
임의 잡음 추가와 공백·대체는 데이터 마스킹의 세부 기술이다.
Q5. k-익명성을 지켰지만 묶음 안 민감정보가 모두 같아 정보가 새는 것을 막으려면?
- 식별자를 늘린다
- k 값을 줄인다
- l-다양성을 적용한다
- 총계처리를 풀어 준다
정답 보기
3번 l-다양성을 적용한다
묶음 안 민감정보를 다양하게 만드는 l-다양성으로 동질성 공격을 막는다.
Q6. 묶음 안 민감정보 분포를 전체 데이터 분포와 비슷하게 맞추는 모델은?
- t-근접성
- l-다양성
- k-익명성
- 차분 프라이버시
정답 보기
1번 t-근접성
분포 차이를 t 이하로 제한하는 것이 t-근접성이다.
헷갈리기 쉬운 O·X
k-익명성만 지키면 동질성 공격도 막을 수 있다.
정답 보기
X 동질성 공격은 l-다양성으로 막는다.
이름, 주민등록번호 같은 식별자는 원칙적으로 삭제한다.
정답 보기
O
라운딩은 데이터 마스킹의 세부 기술이다.
정답 보기
X 라운딩은 총계처리의 세부 기술이다. 랜덤 라운딩은 범주화에 속한다.