La confidentialité différentielle en un paragraphe, et où elle ne convient pas

Ce que c'est

Le NIST SP 800-226 décrit la confidentialité différentielle comme un cadre mathématique qui quantifie la perte de confidentialité pour les entités dont les données figurent dans un jeu de données. En un paragraphe : un mécanisme qui répond à des requêtes sur un jeu de données est différentiellement privé si sa distribution de sortie ne change que d'un facteur borné, paramétré par epsilon, lorsque l'enregistrement d'une seule personne est ajouté ou retiré. Le mécanisme y parvient en ajoutant aux résultats un bruit aléatoire calibré, et chaque requête traitée consomme une part d'un budget de confidentialité. La garantie est une propriété du mécanisme, pas des données, et elle tient quoi que sache par ailleurs une personne attaquante. Des implémentations existent : le dépôt differential-privacy de Google fournit des bibliothèques de briques de base avec des primitives d'ajout de bruit et des agrégations différentiellement privées, des cadres de bout en bout et une bibliothèque de comptabilité pour suivre le budget de confidentialité.

Pourquoi c'est important

Sa garantie tient indépendamment des informations auxiliaires et se compose à travers des requêtes répétées, ce qui est exactement le point où la suppression et l'agrégation ne donnent aucune garantie. Le NIST SP 800-226 nomme également des dangers pour la confidentialité (privacy hazards) : des pièges courants qui surviennent lorsque les mathématiques sont mises en œuvre dans un logiciel.

Comment l'appliquer

• Convient : publier des statistiques agrégées (comptages, sommes, moyennes, histogrammes) sur une grande population, en particulier lorsque la publication est répétée ou exposée comme une interface de requête, et lorsque la perte de précision due au bruit est acceptable aux tailles de population concernées.
• Ne convient pas : les données au niveau de l'enregistrement (une table clients ne peut pas devenir différentiellement privée tout en restant une table clients) ; les petits groupes, où le bruit noie le signal ; les opérations qui exigent des réponses exactes (facturation, données propres d'une personne, rapprochement) ; le texte libre et les images ; les analyses internes ponctuelles où le contrôle d'accès associé à la pseudonymisation est plus simple et suffisant.
• Utiliser une bibliothèque plutôt qu'ajouter du bruit à la main : le NIST SP 800-226 indique que les praticiens devraient utiliser des implémentations bien testées fournies par des bibliothèques plutôt que d'implémenter eux-mêmes les mécanismes, et il inscrit l'arithmétique à virgule flottante parmi ses dangers pour la confidentialité.
• Décider d'epsilon et du budget total par publication comme une décision produit documentée ; enregistrer chaque publication par rapport au budget.
• Garder séparées la table brute pseudonymisée et la publication différentiellement privée ; donner les deux aux mêmes destinataires annule l'intérêt de la démarche.

Pièges

Choisir un epsilon élevé pour préserver la précision et qualifier ensuite le résultat de privé ; le NIST SP 800-226 signale comme un danger le fait que des valeurs élevées d'epsilon puissent ne fournir aucune confidentialité significative. Appliquer le mécanisme requête par requête sans suivre le total. Le traiter comme un substitut à la minimisation et à la rétention plutôt que comme un mécanisme de publication pour des agrégats.