마이크로데이터 매스킹기법 실무 활용 안내서

매스킹(masking)이란 원자료에 적절한 변환을 통해 간접적인 식별 정보를 가리는 것이며, 매스킹된 자료란 변환된 자료와 변환에 관한 정보 모두를 의미한다. 변환에 관한 정보는 이용자의 분석이 올바르게 진행되는데 필요하기 때문에 함께 제공되어야 한다. 여러 변수의 조합으로 인해 간접적인 식별 정보가 생길 때 자료들을 약간씩 변형하여 그러한 식별이 불가능하도록 해주는 기법들을 매스킹 기법이라 하지만, 자료를 이용할 때 어떠한 변환이 행해졌는지에 대한 정보가 주어지는 것은 이용자의 적절한 자료 분석에 필수적이라 하겠다. 매스킹 기법들은 크게 네 가지 범주로 구분할 수 있다. 여기에는 ①부분적으로 자료 값을 제공하거나(sampling), ②자료 값을 가리거나(suppression), ③구분할 수 없는 그룹으로 값을 섞어 제공하거나(aggregation), 혹은 ④자료 값을 변조(perturbative data)하는 것들이 해당된다. 또한, 매스킹 기법들을 연속형이나 범주형 등 변수의 형식에 따라 적용할 수 있는 기법들로 분류하기도 한다. 이 절에서는 비교적 널리 사용되고 있는 매스킹 기법들을 하나씩 간단히 살펴보도록 한다. 마이크로데이터를 행은 개체(레코드)들, 열은 속성 변수들로 구성된 행렬처럼 생각할 수 있다. 감추기(suppression)는 보통 레코드나 속성 차원에서 이루어진다. 예를 들면, 특정 금액 이상의 고소득자의 자료를 모두 감추거나(레코드 감추기), 레코드의 식별을 간접적으로 도울 수 있는 지역 변수를 모든 레코드에 대하여 감추는 것(속성 감추기) 등이다. 즉, 행렬에서 한 행 혹은 한 열을 통째로 감추는 것이다. 이러한 감추기는 비밀보호는 확실하나 너무 많은 정보의 손실을 야기한다. 국소 감추기(local suppression)는 노출위험을 높이는 속성변수 조합의 몇 개의 값만을 감추는 것을 말한다. 이 경우 마이크로데이터 행렬에서 한 셀을 감추는 것이 된다. 예를 들면, 변수 조합이 지역·연령·성별·직업이면서 노출위험이 높은 어떤 레코드의 해당 변수들의 값이 A지역·50대·여성·군인일 경우, 성별인 여성이라는 값이나 직업인 군인이라는 값을 감추는 것을 생각할 수 있다. 만약 자료 이용자가 직업에 관한 정보를 더 필요로 할 경우에는 직업 대신에 성별을 감추는 것이 유익할 것이다. 마이크로데이터를 매스킹 하는 방안은 여러 가지가 있을 수 있다. 예를 들면, 잡음을 추가할 수도 있고, 국소통합을 할 수도, 또 국소통합 처리된 자료에 잡음을 추가할 수도 있다. 여기에 세부 알고리즘까지 따진다면 수십 가지의 매스킹된 파일을 생성하는 것이 가능하게 된다. 매스킹 방안이 많을 수 있기 때문에 어쩌면 매스킹 기법 적용 자체보다도 매스킹 처리된 여러 마이크로데이터 중에서 어느 파일을 선택하여 공표하는 것이 타당한가를 결정하는 것이 더욱 어려운 문제일지도 모른다. 더 나아가서 마이크로데이터에서 노출위험이 높은 레코드만을 선별하여 매스킹 처리를 할 수 있다면, 더욱 효율적인 매스킹 방안을 모색할 수 있을 뿐만 아니라 매스킹이 아닌 다른 통계적 노출제어 기법에서도 그러한 개체(응답 단위)별 노출위험 측도가 활용될 수도 있다. 한편, 범주형 자료에 대해서는 연속형 자료와 같은 통계량들 대신 자료값, 교차표 비교, 엔트로피 기반 측도 등을 이용한다. 먼저 범주형 변수의 자료값을 직접 이용하여 거리를 측정할 때는 명목형 변수에 대해서는 매스킹 전후 값이 같으면 거리는 0, 다르면 거리는 1인 지시 함수를 사용한다. 반면 순서형 변수에 대해서는 두 값의 차이를 변수 범위로 나누는 방법 등을 이용해 거리를 정의한다. 다음으로 변수 조합에 따라 만들 수 있는 교차표의 빈도수를 가지고 매스킹 전후 거리를 측정하기도 한다. 마지막으로 잡음추가, 감추기, 재코딩 방법들을 일반화시킨 PRAM(Post-Randomization) 기법을 적용한 경우에는 엔트로피(Shannon's entropy)를 이용하여 측정하기도 한다(Domingo-Ferrer와 Torra, 2001). 세부 알고리즘으로는 먼저 각 변수별로 원래 자료의 평균과 분산을 가지는 정규 분포를 찾아 그 정규 분포에서 잡음을 발생시켜 더하는 것이 있으며, 이를 비상관(uncorrelated) 잡음 추가라고 한다. 다음으로 원래 자료에서 매스킹 처리를 하고자 하는 모든 변수들의 공분산 행렬에 비례하는 공분산을 가지는 분포에서 잡음을 발생시켜 원래 자료에 더할 수 있는데 이를 상관(correlated) 잡음 기법이라 한다(Brand, 2004). 비상관 잡음 추가보다는 상관 잡음 추가가 원래 자료의 구조를 더욱 잘 보존하는 것이 당연하나, 상관 잡음 추가 기법을 사용하여도 원래 자료에서 정규성 가정이 성립하지 않는다면 매스킹 후에 자료의 구조가 심각하게 왜곡될 수도 있다. 이에 따라 상관 잡음 기법의 로버스트한 알고리즘이 제시되었고(Templ과 Meindl, 2008), 이 알고리즘 역시 sdcMicro 패키지에 구현되어 있다. Duncan 외(2001)에서는 노출위험과 정보손실을 함께 나타내는 위험-유용성 지도를 제안하여 매스킹 방안 선택의 기준을 제시한 바 있다. 보통 세로축에 노출위험을, 가로축에 정보손실 측도를 나타내며, 각 매스킹 방안별로 좌표가 원점에 가까울수록 노출위험과 정보손실 모두가 최소화된 것으로 간주하여 좀 더 효율적인 매스킹 방안으로 간주할 수 있다. 그러나 만약 원점에 대해 볼록한 어떤 무차별 곡선이 존재하고, 두 매스킹 방안의 노출위험과 정보손실 측도가 그 곡선 위에 있다면 두 방안 사이에서 우위를 논하기 어렵다는 문제가 있기도 하다. 따라서 이 절에서 설명할 거리 기반 정보 손실 측도를 이용해 노출위험-정보손실 지도에서 각 방안들을 표현하여 상대적으로 효율적인 안들을 선택하고, 다음 절에서 알아볼 특정 통계량 기반 정보손실 측도를 참고하여 종합적으로 최종 매스킹 방안을 선택하는 것을 추천하고자 한다. 인위자료 등 최근에 통계적 노출제어를 위한 새로운 방법들이 발전하고 있지만, 실무에서 노출제어 처리된 마이크로데이터의 공표를 위해서는 전통적으로 매스킹 기법들이 주로 사용되어 왔다고 할 수 있다. 이러한 매스킹 기법들은 종류가 많고 각 기법별로도 세부 알고리즘이 다수 존재한다. 각각의 기법 및 알고리즘들은 오랜 시간에 걸쳐 연구·발표되어 왔고, 네덜란드 통계청이나 오스트리아 통계청의 후원으로 관련 프로그램들도 만들어져 배포되었다. 이에 대한 내용은 다음 2.2절에서 다루도록 한다. 본 보고서에서는 자료를 배포하고자 하는 실무자가 매스킹 기법을 적용하고자 할 때 어떻게 프로그램을 활용할 수 있는지를 기술하고자 하였다. 본 보고서를 따라 매스킹 기법들을 사용할 수 있지만 매스킹 작업이 노출위험 제어 및 정보손실 최소화에 가장 적합한 방법이 아닌 차선책이라는 한계를 가지고 있음을 강조하며, 인위자료 및 차등 정보보호 이론 등을 이용한 궁극적인 해결 방안 모색을 위한 연구가 현재 여러 나라의 통계기관 및 학계에서 이루어지고 있음을 다시 한번 언급하고자 한다.