Anonymisation as a Service

Transkript

1 Anonymisation as a Service Temmelig god anonymisering Lord Andre Groseth, Sondre Halvorsen, Jeremiah Augie Uy, Robindra Prabhu // NAV IT Data og Innsikt Åpen dag NAVs IT-løsninger for personvern,

2 Av og til så har vi behov for å anonymisere... Utlevere personopplysninger uten hinder av lovpålagt taushetsplikt publisere analyser og rapporter et alternativ til sletting av personopplysninger gjennomføring av brukerundersøkelser utarbeide statistikk eller utlevere registerdata til forskningsprosjekter Styringsinformasjon (KPI)

3 FNR Navn Alder Sivilstatus Barn Innsatsgruppe Landbakgrunn Ledighetsstatus Utdanning Ytelse Medisinsk forhold Ingrid 19 Gift 2 Standard innsats Norge Delvis ledig Grunnskole Arbeidsavklaringspenger Hjerteflimmer Else 59 Gift 1 Standard innsats Norge Arbeidssøkende VGS Sykepenger Ingen Einar 28 Ukjent 2 Situasjonsbestemt innsats Romania Delvis ledig Grunnskole Uføretrygd Hjerteflimmer Andreas 19 Enke 3 Standard innsats Kiribati Helt ledig VGS Sykepenger Hjerteflimmer Andreas 66 Ugift 3 Standard innsats Tyrkia Arbeidssøkende Høyere utd over 4 år Tiltakspenger Artrose Anne 26 Skilt 2 Situasjonsbestemt innsats Norge Delvis ledig Høyere utd over 4 år Tiltakspenger Hjerteflimmer Eirik 63 Ugift 4 Standard innsats Norge Arbeidssøkende Høyere utd over 4 år Dagpenger Ingen Karianne 63 Gift 3 Situasjonsbestemt innsats Norge Helt ledig Grunnskole Tiltakspenger Ingen Ingrid 58 Skilt 1 Standard innsats Somalia Helt ledig Høyere utd over 4 år Sykepenger Artrose Stine 55 Ugift 3 Situasjonsbestemt innsats Norge Delvis ledig Høyere utd over 4 år Uføretrygd Diabetes Stine 46 Skilt 3 Situasjonsbestemt innsats Norge Delvis ledig Grunnskole Arbeidsavklaringspenger Ingen Hans 28 Skilt 1 Situasjonsbestemt innsats Norge Delvis ledig Høyere utd inntil 4 år Tiltakspenger Ingen Ole 35 Skilt 3 Standard innsats Romania Helt ledig Grunnskole Arbeidsavklaringspenger Ingen Kristine 18 Enke 4 Situasjonsbestemt innsats Norge Arbeidssøkende Grunnskole Dagpenger Ingen

4 Anonymt? Direkte identifiserende 1 Identity disclosure Quasi-identifiserende FNR Navn Alder Sivilstatus Barn Innsatsgruppe Landbakgrunn Ledighetsstatus Utdanning Ytelse Medisinsk forhold Ingrid 19 Gift 2 Standard innsats Norge Delvis ledig Grunnskole Arbeidsavklaringspenger Hjerteflimmer Else 59 Gift 1 Standard innsats Norge Arbeidssøkende VGS Sykepenger Ingen Einar 28 Ukjent 2 Situasjonsbestemt innsats Romania Delvis ledig Grunnskole Uføretrygd Hjerteflimmer Andreas 19 Enke 3 Standard innsats Kiribati Helt ledig Grunnskole Sykepenger Hjerteflimmer Andreas 66 Ugift 3 Standard innsats Tyrkia Arbeidssøkende Høyere utd over 4 år Tiltakspenger Artrose Anne 26 Skilt 2 Situasjonsbestemt innsats Norge Delvis ledig Høyere utd over 4 år Tiltakspenger Hjerteflimmer Eirik 63 Ugift 4 Standard innsats Norge Arbeidssøkende Høyere utd over 4 år Dagpenger Ingen Karianne 63 Gift 3 Situasjonsbestemt innsats Norge Helt ledig Grunnskole Tiltakspenger Ingen Ingrid 58 Skilt 1 Standard innsats Somalia Helt ledig Høyere utd over 4 år Sykepenger Artrose Stine 55 Ugift 3 Situasjonsbestemt innsats Norge Delvis ledig Høyere utd over 4 år Uføretrygd Diabetes Stine 46 Skilt 3 Situasjonsbestemt innsats Norge Delvis ledig Grunnskole Arbeidsavklaringspenger Ingen Hans 28 Skilt 1 Situasjonsbestemt innsats Norge Delvis ledig Høyere utd inntil 4 år Tiltakspenger Ingen Ole 35 Skilt 3 Standard innsats Romania Helt ledig Grunnskole Arbeidsavklaringspenger Ingen Kristine 18 Enke 4 Situasjonsbestemt innsats Norge Arbeidssøkende Grunnskole Dagpenger Ingen

5 Anonymt? Direkte identifiserende 1 Identity disclosure 2 Attribute disclosure Quasi-identifiserende Sensitive attributter FNR Navn Alder Sivilstatus Barn Innsatsgruppe Landbakgrunn Ledighetsstatus Utdanning Ytelse Medisinsk forhold Ingrid 19 Gift 2 Standard innsats Norge Delvis ledig Grunnskole Arbeidsavklaringspenger Hjerteflimmer Else 59 Gift 1 Standard innsats Norge Arbeidssøkende VGS Sykepenger Ingen Einar 28 Ukjent 2 Situasjonsbestemt innsats Romania Delvis ledig Grunnskole Uføretrygd Hjerteflimmer Andreas 19 Enke 3 Standard innsats Kiribati Helt ledig VGS Sykepenger Hjerteflimmer Andreas 66 Ugift 3 Standard innsats Tyrkia Arbeidssøkende Høyere utd over 4 år Tiltakspenger Artrose Anne 26 Skilt 2 Situasjonsbestemt innsats Norge Delvis ledig Høyere utd over 4 år Tiltakspenger Hjerteflimmer Eirik 63 Ugift 4 Standard innsats Norge Arbeidssøkende Høyere utd over 4 år Dagpenger Ingen Karianne 63 Gift 3 Situasjonsbestemt innsats Norge Helt ledig Grunnskole Tiltakspenger Ingen Ingrid 58 Skilt 1 Standard innsats Somalia Helt ledig Høyere utd over 4 år Sykepenger Artrose Stine 55 Ugift 3 Situasjonsbestemt innsats Norge Delvis ledig Høyere utd over 4 år Uføretrygd Diabetes Stine 46 Skilt 3 Situasjonsbestemt innsats Norge Delvis ledig Grunnskole Arbeidsavklaringspenger Ingen Hans 28 Skilt 1 Situasjonsbestemt innsats Norge Delvis ledig Høyere utd inntil 4 år Tiltakspenger Ingen Ole 35 Skilt 3 Standard innsats Romania Helt ledig Grunnskole Arbeidsavklaringspenger Ingen Kristine 18 Enke 4 Situasjonsbestemt innsats Norge Arbeidssøkende Grunnskole Dagpenger Ingen

6 Lovverk / Prinsipper / veileder?? " Hvordan kan jeg sikre og dokumentere at datasettet faktisk er anonymt?

7 Rettslige rammer og regelverk

8 Anonymisering Personopplysninger ikke personopplysninger Avidentifisert Pseudonymisert Kryptert Personopplysningsloven Personopplysningsloven Rettslige krav: Anonymisering er en selvstendig behandling av PO Formålsangivelse og begrensning. Forenlig med opprinnelig formål? Krav til selvstendig lovlig behandlingsgrunnlag Dataminimering Sikre og dokumentere at datasettet er rimelig anonymisert

9 Anonymisering Personopplysninger ikke personopplysninger Personopplysningsloven Personopplysningsloven Anonymisert datasett Når er det bra nok? OK? OK?

10 Anonymisert datasett?? OK? OK? R total = R data x R kontekst " Hvordan kan jeg sikre og dokumentere at datasettet faktisk er anonymt? Et tall! Hvilke motiv og kapasiteter har man for å re-identifisere?

11 SDC anonymisering

12 Når en angriper kobler på ekstern informasjon... 1 Membership disclosure «Jasså, du inngår i datasettet!» Privacy modeller: δ-presence, average risk, uniqueness, ++ 2 Attribute disclosure «Jeg vet ikke hvor du er, men nå lærte jeg nettopp noe nytt om deg!» Privacy modeller: l-diversity, t-closeness, β-likeness, ++ 3 Identity disclosure «Se, der er du jo!» Privacy modeller: k-anonymity, k-map, differential privacy, ++

13 Anonymisering med privacy modeller Indent Quasi Quasi Quasi Sensitive ID Kjønn Alder Postnr Medisinsk tilstand PY827 * M * 21 (18-35) (18-57) *** **** Kreft CX244 * M * 33 (18-35) (18-57) *** **** Hjertesykdom ZE697 * M * 19 (18-35) (18-57) *** **** Hjertesykdom AR215 * F * 53 (48-57) (18-57) * **** Kreft CZ546 * F * 56 (48-57) (18-57) * **** Kreft CL083 * F * (48-57) (18-57) * **** Kreft K-anonymity 13 L-diversity 23 1

14 privacy Solid anonymisering er krevende håndtverk... Tidkrevende iterasjon, mye prøving og feiling Smartere teknikker krever fort spesialiserte verktøy men det bør da være mulig å anonymisere temmelig godt uten å være ekspert! utility

15 Anonymiseringsverktøy Svakheter Betalingstjenester GUI baserte Integrering med andre tech stacks Effektivitet Lite åpenhet for videreutvikling eller tilpassing

16 Behov Anonymiseringsverktøy som: Passer til data science Passer til data pipelines Passer til folk flest

17 Løsning

18 Hva liker vi? ARX iterer for deg og finner en «sweet-spot» som garanterer at privacykravene du setter er møtt, samtidig som du holder på så mye informasjon som mulig. Hva er vi ikke fullt så happy med? GUI utviklet av forskere for forskere Tidkrevende Vanskelig å integrere i en data pipeline Versjonshåndtering

19 Internett (åpne data) ETL pipeline Private cloud Lokalt Persondata Persond Anonymisering og risikovurdering ata Tredjeparts aktører Anonymiserte data

20 Clients RXaaS PyA WebARXaaS REST API H T T System Arkitektur P S ARX core??

21 Data kilder Klient Tjeneste PyARXaaS HTTPS Service Service Service Service Service WebARXaaS

22 Hva får du av «ARX as a Service»?...hva får du ikke state-of-the-art (SDC) anonymiseringsalgoritmer fra forskningsverdenen Du får tallfestet risikoprofilen på datasettet du må bestemme om det er anonymt nok... Tallfestet vurdering av risikoprofil (R data ) og garantier for at datasettet oppfyller definerte krav Kan benyttes for å verifisere at datasett faktisk er anonyme Slipper prøving-og-feiling: ARX gir deg en løsning som maksimerer informasjon og samtidig oppfyller krav ved få tastetrykk Fungerer primært på tabulære datasett hvor hver rad svarer til en person Tekst, longitudinale data, historiserte data, strømmedata... Du velger brukerflate: GUI, jupyter notebooks, applikasjoner, ETL-pipelines

23 Dokumentasjon s Bachelorprosjekt webside: Slack: #anonymisering

24 Demo