大数据开放与治理中的隐私保护关键技术研究

-31-大数据开放与治理中的隐私保护关键技术研究—国家自然科学基金重大研究计划“大数据驱动的管理与决策研究”重点项目随着大数据驱动的管理与决策呈现出高频实时、深度定制化、全周期沉浸式交互、跨组织整合、多主体决策等特性，国家自然科学基金委员会2016年发布“大数据驱动的管理与决策研究”重大研究计划，该计划以大数据驱动的管理与决策为研究对象，充分发挥管理、信息、数理、医学等多学科合作研究的优势，着重研究大数据驱动的管理与决策理论范式，大数据资源治理机制与管理，大数据管理与决策价值分析与发现，大数据分析方法与支撑技术，并利用总集成升华平台集成相关研究成果。实验室的研究项目“大数据开放与治理中的隐私保护关键技术研究”于2016年申请并获得了该重大研究计划“重点支持项目”的资助。在大数据环境下，保护数据中的隐私信息有着独特的意义，传统的隐私保护理论和技术无法涵盖大数据隐私的内涵，有必要对大数据隐私保护的机制和模型进行重新定位于思考，因此，急需新型的隐私保护机制与模型的出现，能够在大数据管理与决策过程确保其隐私不被泄露，本项目从大数据隐私管理所面临的的关键问题入手，建立大数据中的面向隐私管理基本理论和方法体系，为数据库理论和技术的进一步发展提供新思路。一、研究背景信息技术与经济社会的交汇融合引发了数据迅猛增长，大数据已成为国家基础性战略资源。2015年8月31日，国务院印发《促进大数据发展行动纲要》，纲要提出要大力推动数据跨部门、跨领域共享，稳步推动公共数据资源开放。而大数据驱动的管理与决策发展核心是不同行业领域之间的数据资源开放，以及消息孤岛的消除。根据麦肯锡公司报道：目前大数据贯穿七大行业：商务、金融、医疗健康、教育、交通、电力以及石油业天然气。如果七大行业之间公开数据，将带来3万亿美元的经济效益。数据开放能够推动经济发展、完善社会治理、提升政府服务和监管能力等。然而，数据开放的同时会直接带来数据治理和共享管理问题。目前，数据资源治理和共享管理已成为大数据驱动的管理与决策研究和应用的关键问题。而在大数据资源治理和共享管理过程中，数据与个人隐私已成为其核心科学问题，若隐私问题没有解决之法，不同行业之间的数据开放变得毫无意义。匿名化、加密、密码学等是解决数据隐私问题的传统机制。然而，这些方法是基于某些特定的攻击假设和背景知识才能够生效，通常集中于单一的小数据，是对隐私的被动保护，进而无法应对大数据的大规模性、高速性与多样性。例如，利用背景知识攻击可以推理出k-匿名之后的敏感数据。此外，大数据的高级分析技术能够揭示传统技术难以展现的关联关系，进而使得传统的隐私保护机制遇到极大的瓶颈与挑战。可见，传统的隐私保护理论和方法已经无法涵盖大数据隐私的真实内涵，有必要对大数据隐私保护问题进行重新思考和定位。因此，急需要新型隐私保护机制与方法的出现，能够在大数据驱动的管理与决策中保护隐私不被泄露，并能够实现不同领域中的大数据资源共享。因此，本项目拟从大数据管理与决策所面临的问题入手，针对大数据隐私保护带来的新挑战，解决其中的数据采集、数据集成与融合、数据分析以及数据解释带来的诸多关键隐私问题，建立大数据中面向隐私管理的基本理论和方法体系，为大数据驱动的管理与决-32-策的研究与应用奠定基础，提供新思路。图1大数据管理与决策模型目前，在大数据驱动的管理与决策应用中，数据的产生可以分为三类：被动产生的数据，该类数据具有规范性、秩序性、一致性等特点；主动产生的数据，该类数据具有结构复杂、无秩序等特点；自动产生的数据，该类数据具有多源异构、分布广泛、动态演化等特点。传统的数据库技术通常侧重解决数据的组织、存储、查询和简单分析等，很少涉及数据的获取、抽取、集成、复杂分析、解释等问题。而这些问题在大数据整个管理周期内是必不可少的。因此，基于上述三类数据产生的方式，本项目构造一种大数据管理与决策的模型，如图1所示。该框架包括数据收集、数据集成与融合、数据分析以及数据解释四个部分。其中，数据收集包括公开数据和私有数据的收集；数据集成与融合主要处理数据之间的冗余、不一致、相互拷贝关系等问题；数据分析的目的是从大数据中抽取或者学习到有价值的模型和规则；而数据解释主要是通过发布共享、数据溯源等技术来展示大数据的分析与查询结果。然而，在大数据驱动的整个管理与决策框架中，每个步骤均存在披露和破坏数据隐私风险的可能。(1)数据收集步骤，如果个人数据被不可信的第三方服务所收集，则个人隐私很有可能被泄露或者卖给恶意攻击者。例如不可信的位置服务恶意收集用户的位置信息，则用户的敏感位置可能会被披露。(2)数据集成融合以及存储步骤中存在着不可信外包服务攻击、无加密索引、链接攻击等。(3)数据分析过程中存在模式支持度攻击、分类与聚类攻击、特征攻击等。(4)数据解释过程中可能存在前景知识攻击、通过数据溯源图挖掘元数据之间的依赖关系等。本项目侧重介绍数据收集、集成与融合、分析以及溯源这几个步骤中的隐私风险。隐私是指个人、组织机构等实体不愿意被外部知晓的信息，例如，个人的薪资、医疗记录等。当前，很多研究机构已认识到大数据管理与决策中隐私问题，并积极研究与探讨相应的保护机制与模型。2013年12月伯克利大学组织了大数据与差分隐私研讨会，主要研讨了差分隐私机制如何支持大数据管理与分析等应用；2014年3月美国白宫科学与技术政策办公室联合麻省理工大学、纽约大学与加州伯克利大学举办了大数据隐私保护研讨会，主要研讨了大数据带来的机遇和风险、当前隐私保护机制；2014年5月美国白宫发布了《大数据与隐私保护：一种技术视角》白皮书，主要探讨个人隐私存在的风险与保护机制。目前，大数据常用的隐私保护机制包括去身份识别机制、数据加密机制、差分隐私技术、隐私信息检索技术、以及问责技术。然而，目前没有一个万能的方法能够解决所有的隐私问-33-题，每一种方法均有自己的优缺点。而国内对于大数据隐私保护的研究刚刚起步，虽然出现多种隐私保护技术，然而这些技术的应用范围还比较狭隘，通常针对小数据被动式地保护数据隐私，并且仅仅考虑了当前攻击模式下的隐私保护效果，而并不关心将来的某个攻击模式下的隐私泄露。目前还没有出现针对大数据隐私问题给出的主动式防御系统框架。主动式保护与被动式保护的主要区别在于主动式保护方式是考虑数据的整个生命周期内的隐私泄露情况，并主动参与到整个大数据隐私处理流程中去。然而，由被动式的隐私保护技术到主动式的隐私管理技术，将是一次巨大的技术进步，同时也面临着巨大的技术挑战。因此，本项目拟从大数据驱动的管理与决策中存在的关键隐私问题入手，针对管理与决策系统中带来的新挑战，具体解决隐私保护模型的结构设计、隐私保护技术的集成、主动式保护方法的设计、适合大数据分析与决策的差分隐私机制、适合大数据高效查询的差分隐私与加密机制、适合大数据发布共享的差分隐私机制、以及适合大数据的问责技术，为大数据驱动的管理与决策的进一步研究与应用奠定基础，提供新思路。二、研究目标本项目的研究目标是：以大数据驱动的管理与决策中存在的关键隐私问题入手，针对数据开放与资源共享带来的新挑战，面对大数据收集、数据分析，以及大数据发布过程中存在的隐私风险等问题，具体解决隐私保护模型的结构设计、隐私保护技术的集成、主动式保护方法的设计、适合大数据分析与决策的差分隐私机制、适合大数据高效查询的差分隐私与加密机制、适合大数据发布共享的差分隐私机制、适合大数据的问责技术、以及大数据驱动的管理与决策中的隐私保护应用示范，为大数据驱动的管理与决策进一步研究与应用奠定基础，提供新思路。同时，充分考虑所设计隐私保护机制的高效性，使上述保护机制能够广泛应用于真实大数据驱动的管理与决策系统中。三、研究内容从前面大数据隐私保护技术分析的结果来看，现有的研究工作主要集中在被动式隐私保护方面，而针对如何主动式地数据隐私保护并确保大数据生命周期安全的研究工作还比较少。根据大数据本身的特点，本项目提出一种隐私保护框架，该技术框架主要包括四个部分如图2所示：隐私主动监控体系、隐私主动评估体系、隐私主动保护技术体系、问责技术系统体系。为了防止大数据生命周期中收集、处理、存储、转换、销毁各个阶段隐私的泄露，需要兼顾几个方面的需求：第一，保护数据拥有者的所属数据的隐私，防止对其过分收集、误用与恶意传播；第二，保护大数据集成与融合、分析以及查询结果的隐私性，且保证分析或者查询结果的可用性；第三，保证隐私风险的主动侦测与评估，并确保造成隐私风险后的问责执行；第四，保证在数据隐私泄露后，能够追溯到泄露根源，并能够对恶意操作或者误用操作进行问责。本项目从大数据共享与治理的需求出发，基于图2提出的隐私保护框架，将主要研究内容概括为：（1）研究大数据私风险侦测体系与评估技术。在大数据驱动的管理与决策环境中，隐私风险通常是指基于个人或者团体数据上的构成隐私泄露的操作。隐私风险的主动监测与评估技术是为了在处理大数据时，能够主动监测到那些不正当的或者存有恶意的操作，并且能够评估出风险的大小。-34-（2）研究大数据隐私主动保护技术。在大数据驱动的管理与决策环境中，数据的独有特征使得单独使用某一种隐私保护技术无法满足隐私需求。目前，匿名化、差分隐私、数据加密是数据隐私保护常用技术。然而，这些方法在管理大数据隐私时均存在着不足。（3）研究该框架下的隐私数据索引与集成技术等。数据集成与融合是大数据管理的重要技术。该技术主要利用实体识别与实体解析技术甄别出大数据中不同的实体。在大数据集成与融合时，需要研究集成与融合导致敏感信息泄露的度量技术，以及研究如何利用加密、差分隐私设计适合集成与融合的隐私管理技术。（4）研究该框架在支持用户查询处理时数据隐私与查询隐私的保护技术。在大数据驱动的管理与决策环境中，如何支持不同类型的查询而又不泄露数据隐私是个很大挑战。利用安全索引是提高其查询效率的主要技术之一。整个大数据生命周期中，需要研究适合大数据的安全索引与支持不同查询的加密技术。（5）研究该框架下隐私数据高效分析技术。大数据驱动的管理与决策环境中，决策分析能够使我们以前所未有的方式来剖析数据中的规律与价值。目前多数的大数据分析常以统计分析为主，如何对统计结果或者统计过程进行保护是个大的挑战。此外，大数据的高维性、动态性使得在保证隐私不被泄露的前提下分析大数据非常困难。为此，需要研究如何在现有的分析框架中管理隐私，研究如何分析高维度大数据而不泄露隐私等问题。（6）研究该框架下大数据收集、处理、存储、销毁等操作导致隐私泄露后的问责技术。大数据驱动的管理与决策环境中，问责系统技术与隐私保护技术是相辅相成的，对违反正常操作策略和规范的人起到追究其责任的作用。其主要技术包括数据追踪技术、工作流技术、数据溯源技术等。（7）研究大数据驱动的管理与决策中的隐私保护应用示范。构建适合大数据驱动的管理与决策中的隐私保护应用示范仿真系统。选择典型应用领域（公共管理、商务、金融、医疗健康等），在项目所设计的隐私保护框架中，集成项目相关研究成果，研究隐私主动监测与评估、隐私主动保护、问责技术过程模拟仿真，研究各类隐私要素并存且相互影响情况下的保护程度。图2大数据隐私保护框架