I. 서론
마이크로데이터란 가구 조사, 인구조사 등 공공행정 기록에서 각 관측 단위에 대한 정보를 포함하는 데이터 파일로 해외 여러 국가에서는 이를 정책, 학술연구 지원 목적으로 자료를 제공하고 있다[1].
우리나라에서는 데이터베이스, 전자화된 파일 등 법령이 정하는 목적으로 생성 및 취득한 공공의 전자 자료를 ‘공공 데이터’로 정의하고 있다[2]. 기존에는 200여 개의 공공기관에서 개별로 공공 데이터를 관리하여서 데이터 유실 및 통합 관리의 필요성, 이용자의 맞춤형 서비스 필요성이 제기되었고 마이크로 통합 DB 구축 및 운영체계를 마련하게 되었다[3].
이에, 정부는 2014년 공공 데이터 개방 정책과 맞물려 ‘데이터 개방 및 공유 확대’를 중심으로 마이크로데이터 통합서비스(Micro Data Integrated Service, MDIS)를 구축하여 추진하게 되었다[4].
MDIS에서 제공하는 마이크로데이터는 통계조사 원자료에서 조사·입력 오류 등을 수정한 개별 단위(개인, 가구, 사업체 등) 자료로, 집계된 병합자료가 아니어서 목적에 맞게 가공 및 활용이 가능하다[4]. MDIS는 정보통신, 과학, 기술 등 400종 이상의 데이터를 보유하고 있으며, 마이크로데이터의 이용 건수는 2009년 3,300건에서 2013년 9,250건 수로 연평균 30% 이상 활용도가 높아지고 있다[5].
최근에는 정책 의사결정의 기초자료로 통계 수요가 급격히 증가하여 마이크로데이터의 중요도는 더욱 높아지고 있다[6]. MDIS는 통계청 및 각종 통계작성 공공기관의 통계적 단일창구로 통합 제공된다는 점에서 매우 긍정적이나 세부 단위의 개별 데이터는 특성상 정보의 노출 가능성 및 재식별의 위험성이 따른다는 측면에서 우려의 목소리도 크다[7][8].
대안적인 방법으로 김규성[7]은 마이크로데이터 제공에 따른 통계적 노출 기법을 중심으로 위험-유용성에 대한 경계 지도를 통해 위험 모형을 제시하였다. 박원환 등[8]은 마이크로데이터에는 개인 또는 기업의 민감한 개별 정보가 포함되어 있어 개인 정보 보호의 필요성을 강조하면서 정보 보호를 위한 다양한 익명화 방법을 소개하였다. 이외에도, 개인 정보 데이터의 노출 위험도를 계산하거나 재식별 위험성에 대한 연구가 수행되었다[9].
이러한 방법론은 개인 정보 노출의 위험도를 측정한다거나 일부 데이터 중심의 전통적인 방식으로 익명화하는 등 개인 정보의 노출 위험도를 판별하고 측정하는 측면에 집중되어 있다.
데이터 산업의 발달 및 마이크로데이터의 중요성이 더욱 커지면서 이제는 개인정보보호에 대한 위험성 평가보다는 이를 확대하여 데이터의 특성별로 데이터의 영역을 체계화하고, 특성에 맞춰 개인정보보호강화기술(Private Enhancing Technologies, PETs)을 적절하게 적용하여 실제 데이터 서비스 안전하게 활용할 수 있을지 실무 지향성을 확장할 단계이다. 따라서, 본 연구에서는 마이크로데이터 특성별로 최신 PETs을 결정하기 위한 정책 결정 프레임워크를 설계하고자 한다. 설계된 프레임워크를 중심으로 실제 243종의 마이크로데이터를 실제 매핑하여 그 결과를 분석하고자 한다.
본 연구의 구성은 다음과 같다. 2장에서는 대표적인 PETs에 대해 알아본다. 대표적으로 차분 프라이버시(Differential Privacy, DP), 동형 암호(Homomorphic Encryption, HE), 합성 데이터(Synthetic Data, SD) 등의 개념을 이해하고 각 특성을 비교한다. 3장에서는 PETs 기술 중 차분 프라이버시(DP), 동형 암호(HE), 합성 데이터(SD) 등으로 매핑하기 위한 정책 결정 프레임워크를 제안한다. 제안된 프레임워크를 중심으로 MDIS에서 제공하는 마이크로데이터에 대하여 데이터 특성별로 매핑한다. 4장에서는 매핑된 결과를 정량적, 정성적으로 검증 및 평가하고 그 결과를 해석하여 타당성 등을 논의하고 이를 통해 정책적 실무적 적용 가이드라인을 제시한다. 5장에서는 주요 내용을 정리하고 향후 연구를 제안한다. 본 연구는 개인 정보 보호 강화를 위해 설계된 프레임워크를 중심으로 실제 MDIS에서 제공하는 데이터의 영역별로 어떤 기술이 가장 적합한지 체계적으로 매핑하여 마이크로데이터의 영역별 맞춤형 보호 전략 수립을 위한 의사결정을 지원에 도움이 되고자 한다. 특히, 국내 개인 정보 보호 정책 수립 시 데이터의 특성에 따라 개인 정보 보호 강화 기술을 결정할 수 있는 사전 가이드라인을 제시하는 데 실무적, 학술적 의의를 두고자 한다.
II. 최신 개인정보보호강화기술(PETs) 개요 및 특성 비교
2.1 차분 프라이버시(Differential Privacy, DP)
차분 프라이버시(DP)는 통계적 분석 결과에 개인의 데이터가 미치는 영향을 제한함으로써, 개인정보는 보호하면서 전체적인 통계의 유용한 결과를 도출해 데이터의 가치는 유지하는 것을 말한다. 즉, 한 개인의 정보가 특정 데이터베이스에 존재하는지와 상관없이 유사한 값을 도출되게 된다[10].
미국 NIST는 차분 프라이버시(DP)를 활용하여 데이터 수집 및 공개 과정에서 개인에게 발생할 수 있는 개인 정보 위험을 정량화하는 프레임워크로 명명하고 NIST SP 800-226를 통해 실제 구현 과정을 설명하고 있다[11]. NIST는 통계분석에 있어, 누군가의 정보가 빠지거나 들어왔을 때 결과가 얼마나 달라지나를 Unit of Privacy라고 한다. 적당량의 노이즈를 주어 숨기는 기술로 한 단위의 데이터 셋에서 빠지거나 추가할 때 쿼리 결과 변할 민감도를 계산한 후, 노이즈 메커니즘으로 ε(엡실론)을 설정 후, 검증하는 체계로 이루어지며 Table 1.과 같다[12].
Table 1. Differential Privacy 7-Step Process (condensed from NIST SP 800-226)[12]
여기서 프라이버시 파라미터 ε값은 숫자가 작을수록 프라이버시가 강해진다. 결과에 미치는 영향을 제한함으로써, 개인 정보는 보호하면서도 전체적인 데이터 가치는 유지하는 방법이다. 그러나 ε값에 따라 데이터의 활용 가치가 떨어지거나 정보 보호 강화에 한계가 있어 허용 가능 유용성 기준을 정하는 것이 중요하다.
2.2 동형 암호(Homomorphic Encryption, HE)
동형 암호(HE)는 복호화 과정이 없이 암호화된 데이터에 대해서 연산을 수행할 수 있는 기술로, 암호화된 데이터를 보호하면서 분석을 수행할 수 있다[13]. 암호화된 상태에서 연산이 가능하여 데이터 보안성이 높고, 멀티 클라우드 환경과 같이 다양한 환경에서 활용이 가능하여 데이터 유출이 적으며 암호키를 소유자가 관리하여, 데이터의 소유와 통제가 가능하다는 장점이 있다. 동형 암호(HE)는 데이터 보안 파라미터 및 키를 생성하고, 암호화하여 암호문 상태로 계산 후 검증하는 체계로 이루어지며 Table 2.와 같다. 연산할수록 노이즈가 늘어 복호화가 어려울 수 있다는 단점이 있다[14].
Table 2. Homomorphic Encryption (HE) Process[14]
동형 암호(HE)는 빠른 분석 및 대용량 처리 등 성능의 유용성을 확보하면서 개인정보보호를 강화하는 기술이라고 할 수 있다. 다만, 결과값이 민감할 경우 추가적인 통제 혹은 다른 보호 기술을 결합할 필요가 있다.
2.3 합성 데이터(Synthetic Data, SD)
합성 데이터(SD)는 실제 데이터의 통계적 특성을 고려하여 인공적으로 생성한 데이터로 민감한 정보로 보호하면서 데이터를 공유할 수 있다[16]. 민감정보 없이도 분석 및 공유가 가능하여 재식별화가 최소화된다. 또한, 수집이 어려운 데이터 부족 문제를 해결할 수 있으며, 원본 공유가 어려울 때 사용할 수 있는 안전한 대안이다. 합성 데이터(SD)의 생성할 때에는 통계적 유사성과 형식, 구조적 유사성은 있어야 원본 형태로 모델링이 가능하다[15]. 합성 데이터(SD)의 생성 과정은 먼저 데이터 타입의 분포를 명확히 파악하고, SDV·GAN 등 모델이 원본 패턴을 학습하도록 튜닝 후 샘플링, 혹은 검사를 통해 정확도 및 재식별 여부 등을 고려해 프라이버시 위험도를 판단하는 단계로 이루어진다. 기존에는 원자료를 마스킹하는 방법으로 개인 정보 식별을 어렵게 하였다면 합성 데이터(SD)는 새로운 레코드를 중심으로 대체 데이터 셋을 만들어 데이터의 공유 없이도 활용도를 극대화할 수 있다는 장점이 있다. 다만, 합성 데이터(SD)는 본래 데이터가 아니여서 생성 과정에서 별다른 조치가 없는 한 원본 유출 가능성이 있다[16]. 희소성이 높은 데이터 평가 시 특정 레코드의 값을 그대로 복제할 수 있는 위험이 있기 때문이다. 이에, 재식별에 대한 공격의 가능성을 고려하여 차분 프라이버시(DP)를 활용하여 모델의 학습 단계에서 노이즈를 추가하여 프라이버시를 보호하는 방안을 생각하기도 한다.
2.4 차분 프라이버시(DP), 동형 암호(HE), 합성 데이터(SD) 특성 비교
차분 프라이버시(DP), 동형 암호(HE), 합성 데이터(SD)를 특성별로 구분하면 Table 3.과 같다.
Table 3. Sensitivity & Utility Levels
차분 프라이버시(DP)는 결과를 도출하는 데 인위적인 노이즈를 삽입해 개인 정보를 보호하는 방식으로 ε 값으로 정확도를 조절한다. 기초통계 분석에 사용되어 연산 부담이 상대적으로 낮으며, 설문통계 및 범주형 통계(성별, 직업) 등 정형 데이터에 적합하다. 동형 암호(HE)의 경우 수학적 연산으로 처리 과정에 있어서 안전성이 높고 연산 과정을 보호하는 방식으로 매우 높은 정확도를 가진다. 이에, 정확한 연산이 필요한 통계 학습모델에 사용할 수 있으며 연산 비용이 든다. 정밀도가 높은 수치형 데이터(의료, 금융 등)에 민감정보를 포함한 연산 시 활용되는데 적합하다. 합성 데이터(SD)의 경우 원래의 데이터를 공개하지 않고 유사한 데이터의 분석을 통해 진행되는 것으로 학습 성능에 따라 정확도가 달라진다. 시나리오 기반의 탐색적 분석에 적합하며 AI 학습용 데이터 생성 등과 같이 시계열, 비정형 데이터 활용이 가능하다.
차분 프라이버시(DP), 동형 암호(HE), 합성 데이터(SD)의 기술별 특성만으로도 의사결정 기준을 우선으로 적용해 볼 수 있다. 일반적인 분석 통계는 차분 프라이버시(DP), 민감도가 높고 연산이 필요한 경우 동형 암호(HE), AI, 머신 러닝 등 탐색적 분석이 필요한 경우 합성 데이터(SD) 기술을 적용할 수 있다. 다만, 보호 수준은 높지만 연산 부담이 제한적일 경우 차분 프라이버시(DP) 우선 적용 후 보완을 고려해 볼 수 있다.
본 논문에서는 다양한 고려 사항을 중심으로 프레임워크를 설계하여 개인 정보 보호 강화 기술의 우선순위 정책 결정 지원을 위한 기술 매핑을 하고자 한다.
III. 연구방법론
3.1 개인정보보호강화기술(PETs) 우선순위 정책 결정 프레임워크
해외 각국에서는 PETs를 제도화하여 가이드라인으로 제공하고 있으나 우리나라의 경우 현재 명시적으로 통합된 프레임워크를 제공하고 있지는 않다. 다만, 개인정보보호위원회는 5개년 계획을 수립하여 ‘프라이버시 보호 기술(PET) 개발 및 확산’을 중점과제로 하고 있으며, 통계 데이터 허브 사업을 중심으로 프라이버시 기술에 대한 모델 실증 및 검증을 이행하여 평가 체계 마련을 위한 기반을 다지고 있다.
본 연구에서는 미국 NIST/CISA, 영국 CDEI 등을 활용하여 적용 방향을 결정하고 국내 실정에 맞춰 프레임워크를 구성한다. 영국 CDEI 의사결정나무 형태의 구성을 참고하여 데이터의 형태에 맞게 분류하고 민감도, 활용 목적에 따라 프레임워크를 설계하고 단계별로 스코어링 하여 최적의 PETs 매핑을 위한 정책 결정을 지원한다. Fig 1.은 데이터의 특성별로 개인 정보 보호 위험도에 따라 단계별로 핵심 요소를 평가하기 위한 고안한 프레임워크이다.
Fig. 1. Decision-making Framework
PETs를 적용하기 위한 의사결정 프레임워크를 구성하기 위해 단계별로 프라이버시 위험평가 항목을 구성하고 각 항목의 평가 요소별로 위험 강도에 따라 정량적으로 1점에서 5점까지 스코어링 하여 평가점수를 부여하도록 한다.
단계별 평가의 구성요소 결정은 개인 정보 보호 위험평가를 기준의 우선순위에 의해 결정된다. 1단계는 데이터 민감도이다. 데이터 민감도는 위험도의 여부를 결정하는 것으로 민감도가 높을수록 재식별, 평판, 법적 위험이 기하급수적으로 증가하므로 더 강력한 보호가 필요하다. 5점 척도로 높은 점수일수록 고도의 민감정보를 포함한 건강 기록, 금융, 바이오 정보 등이 포함되고, 낮을수록 공개된 일반 정보로 공개된 비 개인의 데이터를 둘 수 있다. 민감도가 높을수록 노이즈를 추가하거나 합성데이터의 조치가 필수적이다. 차분 프라이버시(DP), 합성 데이터(SD)의 선택이 적절하다.
2단계의 평가 항목은 개인 정보 식별의 위험도이다. 재식별의 가능성을 중심으로 데이터의 특성상 단순한 성별, 나이 등의 개인 식별이 불가한 경우는 낮은 점수를 주민등록번호 등의 식별이 가능성이 큰 정보일수록 높은 점수를 부여한다. 재식별의 위험도가 높은 것은 원본 데이터의 공개를 피하거나 노이즈 주입이 필요하다. 식별의 위험이 높을 경우는 동형암호를 고려하는 것도 필요하다. 동형 암호(HE) 기술을 활용할 경우, 재식별 자체가 불가능하게 된다.
3단계는 데이터의 유형으로 데이터가 정형 데이터인지 비정형 데이터인지 아닌지에 따라 간단하게 분류가 될수록 낮은 점수를 이미지, 텍스트 원본 데이터 등 유형의 분류가 어려울수록 높은 점수를 결정한다. 구조화된 데이터는 차분 프라이버시(DP), 합성 데이터(SD)의 활용이 적합하나 민감 데이터 혹은 이미지의 경우 직접 식별이 쉽기 때문에 마스킹 처리가 필요할 수 있다. 동형 암호(HE) 기술은 연산작업에 유용하므로 비정형 데이터처럼 복잡한 데이터를 직접 다루기보다 재선별을 통해 필수 데이터를 1차 선별하여 적용하는 전략이 필요할 것이다.
4단계는 데이터가 공유되는 범위와 목적을 나타내는 활용 시나리오이다. 내부에서만 활용되는 것인지 등의 공개 범위에 따라 위험도를 결정한다. 시나리오 점수는 내부일 경우 2점, 연구자에게 제안하면 3점, 다기관이 연계될 때 4점 공중에 공개가 가능할 경우 5점으로 설정한다. 시나리오가 외부로 갈수록 차분 프라이버시(DP), 합성 데이터(SD) 기술을 활용하고 내부에서 활용되거나 협업하면 동형 암호(HE) 기술을 적용한다.
마지막으로 5단계는 데이터 사용자 및 환경에 대한 신뢰수준이다. 데이터 사용자 혹은 환경이 완전히 신뢰할 수 있으면 낮은 점수를 신뢰가 어려운 불특정 다수, 혹은 외부 환경의 위협 가능성이 존재할수록 높은 점수를 할당한다. 외부 환경의 위협 가능성이 클수록 동형 암호(HE) 기술을 적극 권장하거나 가명처리를 진행하는 방식으로 추진한다.
이러한 단계별 프라이버시 기술을 고려하는 동시에 5단계에 걸쳐 각 평가 요소별로 정량적인 점수 기준을 결정하고 각 1점에서 5점까지의 점수를 부여한 후 합산한다. 단계별 선정 기술, 핵심 적용 요건, 전체 합산된 점수에 총점 점수에 따라 최종 PETs를 선택하여 매핑한다.
5단계의 최대 점수는 총 25점으로, 15점 미만의 경우, 위험도가 낮아 별도의 조치가 불필요할 수 있다. 민감도와 재식별의 위험성도 낮으므로 충분히 안정적이라고 결정할 수 있다. 다만, 15점에서 18점일 경우 경계선상에 있을 수 있다. 이에 점수만으로 결정하는 것이 아니라 각 단계 요소별로 15점 이상이면서 식별 위험도, 데이터의 유형, 활용 시나리오에 따라 최종 PETs 선택 결정 기준을 확정한다.
Table 4.는 전체 총점을 기준으로 PETs 선택 적용 매핑 핵심 기준을 나타낸 것이다. 차분 프라이버시(DP)는 전체적으로 위험도가 매우 높음을 나타내며 데이터의 사용 현황이 중간 이상으로 복잡하거나 식별가능성이 높은 경우 결정된다. 동형 암호(HE)의 경우는 데이터의 속성에 있어 민감도와 기밀도가 높은 경우 결정된다. 합성 데이터(SD)의 경우 민감도와 식별가능성이 높은 경우를 나타내며, 고도의 위험 조건을 가지고 있다.
Table 4. Essential Criteria for PETs Selection and Mapping
3.2 마이크로데이터 수집·범위
MDIS는 주제별, 기관별, 서비스 유형별로 자료를 제공하고 있으며 공공 개방용 데이터 셋과 인가용 데이터 셋에 따라서 원격접근 서비스를 제공하거나 직접 방문하는 센터 서비스를 제공하고 있다.
본 연구에서는 주제별 제공자료를 중심으로 민감도 프레임워크를 활용한 개인 정보 보호 기술의 결정을 고려하였다. 주제별 제공자료는 총 420종으로 이 중 지역 통계를 제외하면 20개 분류의 243종의 데이터 셋으로 확인할 수 있다. 지역 통계는 주제별 자료와 중복·유사성이 높아 본 연구에서는 제외하였다.
Fig. 2. Dataset Counts and Shares
MDIS를 통해 제공되는 데이터는 정보통신·과학 기술 분야가 32건으로 가장 높고, 농림·수산, 경제일반, 교육문화, 사회 일반, 노동 순으로 제공되고 있었다. 인구, 환경, 임금, 에너지, 정부 재정 및 금융의 경우 5건 미만의 데이터가 제공 지원되고 있다.
3.3 프레임워크를 활용한 최종 의사결정 방법
먼저 MDIS에서 제공하는 마이크로데이터를 분류하고 데이터의 특성에 따라 주제중심의 사용 흐름을 정량적으로 평가한다. 평가 결과 총점 기준으로 위험 수준을 판단하고 적합한 PETs 선택을 결정한다. 위험 수준이 낮으면 단순 익명화로, 높아질수록 차분 프라이버시(DP), 동형 암호(HE), 합성 데이터(SD)를 적절히 선택하되, 복합기법이 요구되는 경우 두 개 이상의 기술을 결정하기도 한다. 이 경우 하나의 PETs 기술의 부족한 점을 상호 보완하는 방식으로 결정하고 어느 단계에서 위험 요소가 극대화되는지를 판단하여 적절한 기술을 연계 활용하는 방식으로 이행한다.
3.4 매핑 결과 분석 방법
MDIS는 20개 주제별 243종의 자료의 매핑결과를 분석하고 검증하는 단계로 각 주제별 자료에 매핑된 개인 정보 보호 기술(PETs)을 정량적으로 분석하고 검증하여 매핑 결과가 신뢰성 있는지의 판단하는 과정이다. 적절하게 매핑 되었는지를 판단함에 있어서는 데이터의 위험지표를 최소화하면서도 분석 성능의 임계치를 최대로 확보(β ≥ 95 %)하는 것을 목표로 한다.
모든 데이터 셋의 검증을 하는 것은 다소 어려움이 있어 본 논문에서는 243종의 데이터 중 차분 프라이버시(DP), 동형 암호(HE), 합성 데이터(SD) 유형별 2종씩 추출하여 진행하는 것으로 하며, 결과 검증을 진행하는 방법은 Table 5.과 같다.
Table 5. Validation Method for Mapping Results: DP, HE, and SD
IV. 우선순위 정책 결정 프레임워크 적용 결과
4.1 시나리오 주제별 프레임워크 적용 방안
앞서 5단계에 걸쳐 구성한 프레임워크를 중심으로 시나리오 주제별로 적용하여 데이터 평가 점수를 1점에서 5점으로 책정하고 최종 권장 PETs를 선택할 수 있도록 한다. 이 방식으로 243종의 데이터를 평가하고 분석하였으나 본 장에서는 243종의 데이터 중 PETs 기술별로 적용 과정을 설명하고자 한다.
다만, 최종 적용되는 것은 제안된 프레임워크에서 끝나는 것이 아니라 우선적으로 시나리오 주제별 데이터의 평가점수는 프레임워크를 기반으로 초기 평가를 진행한 후 해당 분야의 전문가 검토 및 검증을 통해 결과의 타당성과 신뢰성에 대한 교차검증으로 최종적으로 확정하였다.
먼저, 제안된 프레임워크를 평가 기준을 적용하여 각 시나리오 데이터 평가를 일차적으로 도출하고 전문가 검토를 통해 타당성을 검증하였다. 결과의 신뢰성을 높이기 위해 정보보호 및 해당 분야의 실무경력 10년 이상의 기술사 및 교수 등 전문가 3인에게 평가 결과의 타당성 검증을 시행하였다. 전문가의 타당성 검토에 따라 초기 평가 결과를 수정 보완하여 최종 평가로 확정하였다.
243종의 데이터를 프레임워크에 적용하는 기술별 과정은 다음과 같다.
첫 번째로 인구 통계 데이터의 경우 나이, 성별, 거주지역, 가족 구성 등이 포함되어 있다. 민감도는 중간 정도로 3~4점을 책정하고 여러 요소를 조합하면 식별 위험 가능성이 있어서 식별가능성은 5점, 데이터 결과 시나리오는 모두 공개 가능으로 5점, 공개 데이터의 신뢰도가 높으므로 환경측면에 5점 총 23점으로 확정한다. 최종 권장 PETs는 차분 프라이버시(DP) 기술을 적용하는 것으로 한다. 노이즈를 삽입해 일부 값의 오차만으로 공개되어 개인 정보 침해 없이 다양한 연구 및 정보분석에 활용될 수 있도록 하는 것이다.
두 번째는 졸업자의 취업통계로 고용 간의 연계성을 확인하기 위한 시나리오이다. 교육 및 고용에 대한 암호화를 통해 식별을 어렵게 해야 하므로 동형 암호(HE) 기술을 제안한다. 데이터의 민감도는 4점, 개인을 알아볼 수 있는 식별 정보도 5점, 데이터의 유형은 5점, 동형 암호(HE) 기술을 제안한다. 기관 간의 협업으로 제삼자가 활용할 경우 이용자 신뢰도의 경우 법적으로는 별개의 기관이므로 4점으로 본 시나리오에서의 핵심 사항은 개인정보의 강력한 보호이므로 동형 암호(HE) 기술을 제안한다.
마지막으로 금융기관이 고객 데이터를 이용해 IT 업체와 협업하여 머신러닝 모델을 개발하는 시나리오이다. 금융 데이터는 민감정보지만 인공지능 모델 개발에는 패턴을 익히는 것이 중요하다. 이에, 데이터 민감도 및 식별 위험도는 4점, 데이터 유형은 3점, 시나리오 및 이용자 신뢰도는 3점으로 대략 17점 정도의 수준으로 합성 데이터(SD) 기술로 우선순위를 제안한다. 원자료의 형태를 보인 가상의 합성데이터가 실제 유출되더라도 개인 정보를 침해하지 않으면서도 동시에 통계적으로 유의미한 모델이 개발되어 활용될 수 있도록 지원할 수 있다. Table 6.은 시나리오 주제별 프레임워크를 적용한 결과를 표로 나타낸 것이다.
Table 6. Evaluation Framework by Scenario Topic (Data Sensitivity, Identifiability, Type, Use Case, and Trustworthiness)
4.2 프레임워크 적용 결과 분석 및 검증
우선순위 정책 결정 프레임워크를 중심으로 마이크로데이터 주제별 243종의 자료를 매칭한 결과는 Fig 3.와 같다.
Fig. 3. Summary of Microdata Mapping Results
합성 데이터(SD)가 69%로 가장 높게 나왔으며, 차분 프라이버시(DP) 23%, 동형 암호(HE) 5% 순이였으며, 기타로 DP+SD 혼합형 4종, HE+SD 혼합형 1종 및 별도의 강화 기술이 불필요한 것이 5종으로 나타났다.
가장 많은 부분을 차지한 합성 데이터(SD) 기술을 항목별로 살펴보면 보건, 복지, 노동, 소득 등의 항목이 다수로 나타났다. 전반적인 개인의 삶에 대한 정량, 정성 데이터(복지 수혜, 소득구성, 장애 등)의 포함 가능성이 높은 것으로 나타났다. 특히, 구체적으로 세분화 된 복지, 소득, 노동 등의 항목은 각 변수간의 교차를 통해 재식별의 가능성 및 위험성이 존재하며 지역단위나 기관으로 구체화하여 분석할 때 식별 변수의 존재 위험성이 증대될 수 있다. 합성 데이터(SD) 기술을 우선순위로 결정한 데이터를 대표적으로 몇 가지 살펴보면 다음과 같다.
노동 분야의 ‘고용 형태별 근로 실태 조사’를 살펴보면 계약직, 프리랜서 등 비정규직의 고용 형태의 세분화, 민감 조건인 근로조건을 포함하고 있다. 소득 분야의 ‘가계 금융 복지조사’를 살펴보면 자산, 부채, 보험 등 재산 및 금융에 대한 상세 문항이 다수 존재하여 통합적인 분석에 대한 수요가 많음을 확인할 수 있다. 또한, 복지 분야의 ‘장애 학생에 대한 학교폭력 실태조사’를 살펴보면 장애 유형, 생활 불편 사항 및 장애 학생에 대한 피해 경험 및 정서 항목이 다수 포함되어 시계열 구조의 정성 데이터를 확인할 수 있었다. 이러한 데이터는 노이즈 삽입 시 데이터의 구조의 손상을 초래할 수 있어 원자료 유지를 통한 예측 모델 학습을 통한 결합분석이 타당함을 확인할 수 있었다.
차분 프라이버시(DP)는 대부분 20점 이상 총점을 가지고 민감도는 중간 수준으로 의료 기록과 같은 극단적인 민감정보를 포함하고 있지는 않으나 데이터 분석에 따라 개인의 특성이 드러날 가능성을 가진 수준이라 할 수 있다. 비정형 데이터는 거의 없으며 일반적으로 공공 통계 및 대중 접근의 목적으로 활용할 수 있는 여론조사 및 산업 동향 등의 내용이 여기에 해당된다. 예를 들면 행정(기관) 통계인 ‘중소기업 경기 전망 조사’의 경우 집계 중심의 자료로 개별 기업의 정보가 식별되지 않도록 노이즈를 적용하는 것이 합당하다. 또한, ‘국민 독서 실태 조사’ 및 ‘외식업 경기 동향’과 같이 국민 생활에 있어서 생활 습관 및 형태, 산업 체감에 따른 경기 공개 시 개인 및 기업의 유추를 방지할 수 있도록 하는 차분 프라이버시가 적용함에 따라 노이즈를 통해 보호하는 형태로 비식별 처리를 하는 것이 바람직하다.
동형 암호(HE) 기술의 경우 대부분 연계되는 정보가 민감하거나 고위험으로 간주될 수 있는 경우 혹은 원자료 노출 없이 공동의 분석이 필요한 기술이 요구될 때 진행된다. 국세청, 고용보험, 건강보험 등 다양한 기관에서 수집되면서 이 데이터가 반드시 식별자를 기반으로 결합해야 하는 다기관 연계 분석의 경우 민감정보가 결합할 수밖에 없어 연산가능한 보안 방식의 필요하게 된다. 민감정보가 포함되어 있어 원자료를 직접 공개할 수 없는 부분이 있다.
사회 분야의 ‘생애 단계별 행정통계’ 및 ‘신혼부부 통계’ 그리고 ‘중장년층 행정통계’의 경우 개인에 대한 식별자 기반의 다양한 행정정보를 기관 간 연계를 통해 공유한다. 금융, 주택, 고용보험, 의료 등 정보를 결합 연산을 토대로 분석하므로 동형 암호(HE) 기술에 우선순위가 결정된다. 환경 분야에서도 ‘원자력 산업 실태’의 경우 다양한 규제기관, 발전기관, 기업간 데이터 연계가 필수적으로 필요하며 안전하게 암호화된 상태에서 분석할 수 있게 되어야 한다.
기타로 차분 프라이버시(DP), 합성 데이터(SD)의 혼합형 PETs의 경우 인구 부분이 두드러졌다. ‘인구주택 총조사’, ‘인구 동향 조사’, ‘인구주택 총조사 패널 데이터’, ‘5세 미만 영유아 출생 및 사망 연계’ 등 여러 데이터의 정보를 결합하고 분석하면서 민감정보를 빼거나 노이즈를 처리한 후 원자료의 공개와 공유 없이 통계적 특성을 유지한 합성데이터를 중심으로 연구 및 개인 정보 보호를 모두 충족하도록 하고 있다. ‘국내 인구 이동 통계’의 경우 여러 기관이 주민들의 이동 정보를 결합·분석하여 원자료 공유없이 암호 상태로 연산해야 하므로 우선 동형 암호(HE)와 차분 프라이버시(DP)를 적절하게 하도록 제안한다.
위와 같이 243종의 주제별 마이크로데이터에 대하여 차분 프라이버시(DP), 동형 암호(HE), 합성 데이터(SD)에 우선순위를 결정하고 해당하는 분류 체계별로 매칭 결과가 적합한지를 축소 검증하였다. 분석 성능을 축소 검증한 결과 모든 데이터 셋이 해당 유형별로 분석 성능의 임계치 범위 내에서 유의미한 결과를 도출하였다.
PETs 정책 결정 프레임워크를 활용해 우선순위가 결정된 주제별 특성을 정리해 보면 결과적으로 차분 프라이버시(DP)는 집계형·비식별 자료(환경 센서, 농업 생산량, 교통량 등) 중심으로, 분석 목적이 정책 모니터링·공표 통계 수준으로 한정되었다. 합성 데이터(SD)의 경우 정보통신, 과학, 법률과 같이 시계열·패널 구조가 풍부하고, 직접 식별키가 필요하지 않은 집단이 대상이 되며 동형 암호(HE)의 경우 기업·건강·소득 데이터처럼 식별키·민감 속성이 동시에 존재하는 집단으로 확인할 수 있었다.
V. 결론
본 연구는 공공 데이터의 개인 정보 보호 강화를 위하여 우선순위 결정 프레임워크를 설계하고 243종의 마이크로데이터를 매칭하고 그 결과를 분석하고 검증하였다. 그 결과 자료의 특성이 적절히 반영되어 차분 프라이버시(DP), 동형 암호(HE), 합성 데이터(SD) 특성별로 적절하게 매핑 되었음을 확인하는 유의미한 결과를 도출하였다.
그러나, 본 연구에는 일부 한계점이 있다. 먼저, 우선순위 결정 프레임워크의 정량 지표를 산출하는 점수 배점의 경우 평가자에 따라 다소 주관적일 수 있어 요소별로 배점이 차이가 발생할 수 있다. 또한, 유형별로 일부만 추출하여 검증하는 것은 다소 성급한 일반화가 될 수 있다. 실제 데이터 프레임워크를 적용하는 데 있어서 현실적인 부분들의 고려(예산 및 인프라 등)가 부족했다. 이론적으로는 적합하더라도 실제 분석 환경에 따라 기술을 적용이 어려울 수 있으며, 연합의 경우 기관간의 데이터 연계의 신뢰가 가능해야지만 이 기술을 적용할 수 있다는 단점이 있다. 또한, 최근 들어 정보 보호 강화 기술에 있어서 1개의 기술만 적용하는 것이 아니라 하나의 PETs 기술의 부족한 점이 확인되면 보완하는 방식으로 2개의 기술을 적용하여 위험 요소를 최소화하는 방식으로 융합하여 적절한 기술을 활용하고 있으나 본 논문에서는 이 부분의 고려가 일부 미흡하였다.
그럼에도 공공 데이터의 개인 정보 강화 기술에 대한 프레임워크를 통해 정책 결정을 지원하는 기초 가이드라인을 제공한다는 점에서 큰 의의가 있다.
향후 연구에서는 복합 기술의 가능성을 강화하여 보다 다중 기술 전략 등을 토대로 효율적인 방향으로 각 기술의 장단점을 조합한 하이브리드 방식의 모델 제안을 중심으로 전략적으로 체계화하고 검증하는 부분에 있어서도 보다 많은 데이터를 중심으로 확대 검증하는 확장 연구로 이어가고자 한다.
References
- Kim, K., Lee, E., and Jeong, M., "Acasestudy on the overseas release systemof microdata," Journal of the KoreanOfficial Statistics, vol. 13, no. 1, pp. 95–127, Apr. 2008.
- Republic of Korea, "Framework Act on the Promotion of Data Industry and Utilization," Act No. 18475, Oct. 19, 2021. [Effective Apr. 20, 2022]. Available online: https://law.go.kr/LSW/lsInfoP.do?lsiSeq=236051 (accessed Jun. 17, 2025).
- Statistics Korea, "Establishment and operation of integrated microdata DB," 2024. Available online: https://kostat.go.kr/board.es?mid=a10105030200&act=view&bid=0061&list_no=431959 (accessed Jun. 17, 2025).
- Statistics Korea, "Notice of user survey for Microdata Integrated Service (MDIS)," 2025. Available online: https://mdis.kostat.go.kr/index.do (accessed Jun. 17, 2025).
- Korea Policy Briefing, "Press release on Microdata Integrated Service by Statistics Korea," Available online: https://www.korea.kr/briefing/policyBriefingView.do?newsId=148781625 (accessed Jun. 17, 2025).
- Kim, K., Lee, E., and Jung, M., "A case study on the overseas release system of microdata," Journal of the Korea Institute of Information Security and Cryptology, vol. 13, no. 1, pp. 95–127, 2008. UCI: G704-001484.2008.13.1.005. G704-001484.2008.13.1.005
- Kim, K.-S., "Release of microdata and statistical disclosure control techniques," Communications for Statistical Applications and Methods, vol. 16, no. 1, pp. 1–11, 2009. DOI: 10.5351/CKSS.2009.16.1.001
- Park, W.-H., and Hwang, J.-Y., "Anonymization methods for statistical data protection," Statistics Research, vol. 9, no. 2, pp. 146–172, 2004. Available online: https://kostat.go.kr/board.es?act=view&bid=11912&list_no=382026&mid=a90103010300 103010300
- Park, M.-J., Practical guide to microdata masking techniques and their applications, Statistical Research Report, Statistics Korea, 2014. Available online: https://kostat.go.kr (accessed Jun. 17, 2025).
- Jeong, S., Hong, D., and Seo, C., "Case study on local differential privacy application: Privacy-preserving surveys," Journal of the Korea Institute of Information Security and Cryptology,vol. 30, no. 1, pp. 141–154, Feb. 2020. DOI: 10.13089/JKIISC.2020.30.1.141
- Statistics Korea, "Microdata sample document," Available online: https://kostat.go.kr/assist/synap/preview/skin/doc.html?fn=eae626814086b6528cb79cbebd20f6f4&rs=/result/stat (accessed Jun. 17, 2025).
- Near, J., Darais, D., Lefkovitz, N., and Howarth, G., "Guidelines for evaluating differential privacy guarantees," NIST Special Publication 800-226, National Institute of Standards and Technology, Gaithersburg, MD, Mar. 2025. DOI: 10.6028/NIST.SP.800-226.
- Sohn, M., and Shin, S., "Trends and applications of homomorphic encryption," Review of KIISC, vol. 33, no. 5, pp. 39–46, 2023.
- Fan, C., Wang, X., and Sun, J., "Survey on fully homomorphic encryption:Theory and applications," IACR ePrint Archive, no. 2022/1602, 2022. Available online: https://eprint.iacr.org/2022/1602
- Jordon, J., Yoon, J., and van der Schaar, M., "Synthetic data –What, why and how?" Royal Society Technical Report, London, U.K., 2021. Available online: https://royalsociety.org/-/media/policy/projects/ai-and-society/synthetic-data-report.pdf
- Patki, N., Wedge, R., and Veerama-chaneni, K., "The synthetic data vault," in Proceedings of the IEEE International Conference on Data Science and Advanced Analytics(DSAA), pp. 399–410, 2016.