마이크로데이터의 활용 가치 증대에 따른 개인정보 보호를 위한 통계적 노출제어 기법의 현황과 연구 필요성 doc_id CNTS-00118884024_1

요즘 우리나라 언론 보도를 살펴보면 과거에 비하여 통계를 이용해 작성된 기사가 점점 많아지고 있는 것을 느낄 수 있다. 통계청의 보도 자료를 단순하게 이용한 기사들도 있으나, 여러 자료를 모아 심층 분석하여 사회 현상을 해석하고 보도하는 사례들도 예전보다 빈번하게 찾아 볼 수 있다. 사회가 발전해 갈수록 국가 통계는 우리가 매일 접하는 뉴스부터 정부의 정책결정이나 학계의 학술 논문까지 뒷받침하는 공공재의 역할을 더욱 많이 수행해 나가며, 그 활용도가 점점 증가하게 됨을 부인하기 어렵다. 우리나라 통계청 등 각 통계작성 기관에서 생산하고 있는 각종 통계들은 대부분 매크로데이터라고도 불리는 집계 자료의 형태로 공표되고 있다. 매크로데이터 역시 매우 중요하며, 일반적으로 한 눈에 정보를 파악할 수 있도록 정리되어 발표되므로 그 활용도가 매우 높다고 할 수 있다. 매크로데이터는 개별 응답 자료들로 구성된 마이크로데이터를 사용해서 만들어지는데, 기관에서 정리해주지 않은 좀 더 많은 정보를 원하는 이용자들의 마이크로데이터에 대한 수요도 나날이 증가하고 있다. 이처럼 실생활에서 피부로 느낄 수 있는 언론 보도부터 각종 학술 연구와 정부의 정책 개발에 이르기까지 널리 활용 가능한 공공재로써 마이크로데이터는 매우 중요한 가치를 가지고 있으나, 이를 조사 내용 그대로 모두 공표하는 것은 위험할 수 있다. 조사에 응답한 개별 응답자들이 식별되어 원하지 않는 개인정보 유출의 위험이 조금이라도 있을 경우 문제가 될 수 있기 때문이다. 가상의 예를 들어, 제주도에 사는 50대 여성 군인이 지역·연령·성별·직업이라는 응답자 특성에서 전국에서 유일하면서 자산·부채·소득에 대하여 조사에 성실히 응답했는데, 그 이웃이 공표된 마이크로데이터에서 이 응답자를 찾아낼 수 있다면 개인정보 유출이 일어날 수도 있기 때문이다. 개인의 사생활이 중시되고 국가통계 작성을 위한 각종 조사의 응답률이 나날이 떨어지고 있는 환경 속에서, 마이크로데이터에 적절한 비밀보호 조치를 취하는 것은 개인 사생활의 보호일 뿐만 아니라 조사에 참여하는 응답자의 응답을 장려하는 가장 기본적인 작업이기도 하다. 통계적 노출제어 처리가 된 공공이용파일은 현재까지는 크게 매스킹 기법들 및 인위자료 생성 기법을 통해 생산되어 왔다고 할 수 있다. 매스킹(masking)은 전통적인 노출제어 기법으로 활용되어 왔으며, 자료에 적절한 변형을 가하여 변형된 자료와 변형 방법을 함께 공표하는 것을 말한다. 인위(synthetic)자료 생성 방법은 비교적 최근에 만들어진 것으로, 베이지안 기법을 활용하여 원자료의 분포를 따르지만 원래 값과는 다른 파일을 생성하여 배포하고자 하는 목적으로 연구되어 왔다. 먼저 인위자료에 대해 간략히 살펴보면 다음과 같다. 인위자료 생성의 기본 아이디어는 표본 조사를 통해 모집단을 대표하는 다수의 표본 추출이 가능한 것처럼, 조사된 표본과 구조가 유사한 인위자료 세트들을 통계적으로 생성하자는 것이며, 생성 방법은 베이지안 사고를 기반으로 한다. 목표로는 ①공표 자료 내 어떤 응답 단위도 원래 자료 내 민감변수의 값을 가지지 않고, ②원래 자료에서 가능한 통계 분석이나 추론이 공표 자료에서도 가능할 것을 추구한다(Rubin, 1993). 마이크로데이터의 통계적 노출제어 문제 해결은 전통적으로 매스킹 기법들에 의존해 왔으며 또한 매스킹 기법들이 실무적으로 가장 널리 활용되고도 있지만, 서론과 제2절에서 언급하였던 것처럼 매스킹 기법은 노출위험과 정보손실을 동시에 축소하기에는 한계를 가진다. 이는 자료 공급자 및 자료 이용자를 모두 만족시키기 어려운 한계를 가진다는 의미이기도 하다. 때문에 미국, 독일 등에서는 인위자료(synthetic data)를 활용하여 공공이용파일을 작성하는 것을 최근 꾸준히 연구해왔으나, 인위자료의 활용 역시 많은 한계를 가지고 있다. 이제 여러 통계 기관들 및 학계의 관심은 인위자료 활용보다는 차등 정보보호 이론을 적용한 분석서버를 통한 자료 배포로 옮겨가고 있다고도 보인다. 이렇게 많은 변수들을 가지는 마이크로데이터를 배포할 때 발생하는 비밀보호의 문제에 대하여 세계적으로 해결 방안을 찾기 위해 애쓰고 있으나, 실무에서 사용할 정도로 주목되는 성과를 찾기는 어려우며 궁극적인 해결 방안을 찾기 위해 다양한 노력이 이루어지고 있다고 판단된다. 다음으로 인가파일을 통한 자료 배포의 해외 사례를 살펴보면 다음과 같다. 미국 노동통계국은 자료 이용자의 소속 기관과 기관 대 기관 계약을 체결한 후 자료를 제공한다. 계약 후 자료 이용자 소속기관 책임자의 데이터 반환 및 소거 확인 절차, 자료 제공자인 노동통계국에 의한 성과물 검열 절차, 이용 기간 동안의 노동통계국 직원에 의한 현장 사찰 등의 과정을 거친다. 이러한 법적 절차와 물리적 검열 과정과 함께 제공하는 파일을 인가파일(licensed file)이라고 한다. 한편, 미국 센서스국에서는 총 9개의 데이터 실험실을 운영하고 있는데, 자료의 심층 이용자는 가까운 데이터 실험실을 찾아 센터의 서버에 접속하여 모든 필요한 작업을 수행할 수 있다. 얻어진 최종 성과물에 대해서는 심사위원회의 승인 후 학술지 투고가 허용되며, 전체적으로 자료 이용 제안서 제출부터 데이터 이용까지 총 6~12개월이 소요 될 것을 예상하도록 권고하고 있다. 인가파일이나 데이터 실험실을 통한 자료 배포는 정보의 충분성 및 비밀보호 측면에서는 효율적일 수 있으나, 자료 이용자와 배포 기관 모두에게 복잡한 절차와 경제적 비용을 요구하게 된다. 통계기관이 이러한 원칙을 모두 만족시키면서 자료를 배포한다는 것은 쉬운 문제가 아니다. 조사된 상태 그대로의 정보를 모두 담아 마이크로데이터를 배포하면 개별 자료의 노출위험이 너무 커지고, 노출위험을 줄이기 위해 공표 범위를 줄이거나 자료를 변형하면 이용자가 원하는 수준에 비하여 정보 손실이 커지기 때문이다. 또한, 정보손실과 노출위험 모두 최소화하며 자료를 배포하기 위해서는 자료 이용자를 엄격히 통제하는 절차를 만들게 되므로 이용자의 접근 편의성이 떨어지게 된다. 위의 세 원칙을 모두 만족시키는 해결책을 찾은 사례는 현재까지는 없다고 보인다. 다만 지금까지 해외 통계기관의 비밀보호 처리 현황을 조사한 결과들을 살펴보면(김경미 외, 2007), 통계기관들은 이용자의 유형에 따라 위의 세 목표 중 일부라도 달성할 수 있도록 자료를 배포하는 전략을 취해 해왔다고 할 수 있다. 마이크로데이터의 비밀보호를 위해 세계 각 통계작성 기관 및 학계의 연구자들은 활발한 연구 활동을 지속해 왔다. 비밀보호(confidentiality)는 통계적 노출제어(statistical disclosure control/limitation)라고도 불리며, 노출제어는 학술적으로 크게 매스킹, 인위자료 및 분석 서버 기반 대안이라는 세 분야로 나눌 수 있다. 이 중 실무적인 차원에서 세계적으로 주로 활용되고 있는 것은 매스킹 기법들이라 할 수 있으며, 마이크로데이터 제공시 보다 완전한 통계적 노출제어를 위한 인위(synthetic)자료나 자료 제공·분석용 서버와 관련된 노출제어 연구는 계속해서 진행되고 있는 상황이다. 통계개발원에서는 최근 2년간 마이크로데이터의 비밀보호를 집중적으로 연구하였고, 해외 다른 기관들과 마찬가지로 마이크로데이터의 보다 완전한 통계적 노출제어를 위한 연구를 지속해나갈 계획이다. 다만, 이러한 흐름 가운데 현재 실무적인 차원에서 사용할 수 있는 매스킹 기법들의 적용 및 노출위험과 자료유용성 측정을 통한 매스킹 방안 평가의 노하우를 관련자들이 최대한 쉽게 습득할 수 있도록 관련 연구 결과를 안내서 형태로 정리하고자 한다.