秘匿クロス統計技術特集 ―企業横断の統計的なデータ活用による社会課題解決―
企業横断の統計的なデータ活用による社会課題解決
―秘匿クロス統計技術の概要―

データに基づく意思決定は広く社会に浸透し，さまざまな社会課題の解決においてデータ活用の重要性が増している．例えば，ドコモでは，携帯電話ネットワークの運用データ^*1※に基づいて人口統計を推計することで，災害時における帰宅困難者対策などの防災計画策定に寄与している[1]．このように，データを用いて事象を正しくとらえることで，より効率的に問題解決を図ることが期待される．しかしながら，ある特定の問題に注目し，その問題を解決しようと考えた場合，単独の企業が保有するデータだけでは，生じている事象を一面的にしかとらえられない可能性がある．そこでこのようなケースでは，複数の異なる企業に蓄積されたデータを企業横断で活用することで，複合的な観点や俯瞰的な視点から社会で発生する事象をとらえることができる[2]．

一方で，データ活用で得られる便益への期待の高まりに呼応して，国内外でデータ提供者のプライバシー保護に関する新たなルール作りも進んでいる．EUでは2018年に一般データ保護規則（GDPR：General Data Protection Regulation）^*2 [3]が施行され，個人に関する情報を保護する法整備が進められた．また，2020年には米国でカリフォルニア州消費者プライバシー法（CCPA：California Consumer Privacy Act）^*3[4]の適用が開始されている．さらに，日本でも2022年4月に改正個人情報保護法[5]が施行された．安心安全なデータ活用に向けて，これらのルールの遵守はデータ活用を行う企業の責務である．また，このような法令遵守のみならずデータ主体である個人が安心する形で，プライバシー情報を保護し，データ活用を行うことが重要である．例えば，米国センサス局では2020年国勢調査において，差分プライバシー^*4と呼ばれる数学的に厳密なプライバシー情報の保護指標を採用している．従来では，データ・スワッピング^*5をはじめとする，その場しのぎのプライバシー情報の保護を行っていたが，データの増加や計算機の処理能力向上により，元データの一部または全部を逆算する再構築攻撃の脅威が無視できなくなってきていた[6][7]．このように，データの活用にあたって，プライバシー情報を保護する重要性がますます高まっている．

関連法令を遵守し，かつ個人のプライバシー情報を保護した上で，データを活用する方法として，個人を特定できないようにデータを統計化した「統計情報」への加工（以下，統計的データ活用）が考えられる．統計情報とは，複数人の情報から共通要素を集計などして得られた情報であり，個人との対応関係が排斥されている．企業単独の統計的データ活用は多く行われているが（例えば，文献[8]など），企業横断でそれを行うことは容易ではない．その理由としては，企業横断の統計的データ活用は，企業間でデータの受渡しが発生する過程においても，関連法令を遵守し，かつプライバシー情報を明かさずに，統計情報を作成することが必要だからである．企業横断の統計的データ活用を行うために，出力データを作成する過程のプライバシー保証と出力データのプライバシー保証の課題を解決する必要がある．

出力データを作成する過程のプライバシー保証の課題は，統計情報を作成するためのデータを入力・集計処理することによって，他の企業や第三者に対して入力データに関する個人情報を含むプライバシー情報が明かされることである．例えば，自社のデータと他社のデータを用いて統計情報を作成するために，自社のデータを他社に公開する必要があるが，自社のデータの個人情報を含むプライバシー情報は守られない．

また，出力データのプライバシー保証の課題は，企業横断で集計処理した出力データからプライバシー情報が読み取られてしまうことである．一見安全に見える集計結果でも複数の集計結果の組合せや，背景知識を用いることで，プライバシー情報の侵害が生じることが指摘されている［9］．そのため，プライバシー情報を保護した上で，企業横断の統計的データ活用を行うために，出力データのプライバシー情報の保護が必要不可欠である．

以上より，企業横断での統計的データ活用に参加する企業においても，これら両方の課題を解決した上で，統計的データ活用が可能な技術が必要である．

ドコモは，日本電信電話株式会社と協力し，企業が保有するデータを横断した統計的データ活用を実現する技術として秘匿クロス統計技術（図1）を開発した．秘匿クロス統計技術は各社が保有するデータ（例えば，ドコモのデータとパートナー企業のデータ）を，各社において個人を識別できない状態（個人情報ではない状態）に加工した上で，データを相互に明かすことなく，すなわち，一連の処理を人の目に触れることなく機械が行うことを技術的に保証して，統計情報を作成する技術である．また，本技術を広く社会実装することを想定して，作成された統計情報の有用性の検証も行った．法令遵守は当然のこととして，個人のプライバシー情報の保護を確実に実施した上で，データ活用の領域を企業内から企業間に拡げることができれば，単独の企業のデータからは得られない，新たな視点を得ることができる．本稿では企業横断での統計的データ活用における要件を整理し，要件を達成する方針を述べ，秘匿クロス統計技術の概要を解説する．

図1　秘匿クロス統計技術

1. 携帯電話ネットワークの運用データ：電気通信サービスを提供する過程で発生するデータの総称．
2. 一般データ保護規則（GDPR）：EU加盟国および欧州経済領域で適用される個人情報の取扱いに関する保護規則．個人情報の取得や移動にも適用される．
3. カリフォルニア州消費者プライバシー法（CCPA）：アメリカ合衆国カリフォルニア州の住民に対するプライバシー保護に関する州法．
4. 差分プライバシー：特定の背景知識や攻撃能力をもつ攻撃者に対しても安全性を保証できることを目的として作成されたプライバシー保護の強度を定量的に測る指標.なお,米国国勢調査においても,「差分プライバシー」を用いた保護手法が採用されている．
5. データ・スワッピング：元のレコードと一致しないようにデータセットの属性値を入れ替える手法．

• 電気通信サービスを提供する過程で発生するデータの総称であり，モバイル空間統計®でも利用されている．運用データは，お客さまがご利用の携帯電話の位置データおよびお客さまの属性データを含むものであり，それぞれの定義についてはモバイル空間統計ガイドライン（以下のリンク）を参照されたい．
  https://www.docomo.ne.jp/corporate/disclosure/mobile_spatial_statistics/guideline/

以下では，前述した課題を踏まえた上で，企業横断の統計的データ活用における要件と要件を満たすための方針を整理し，社会課題の解決に向けた本技術の活用を述べる．

2.3　秘匿クロス統計技術

ドコモでは，前述の方針を踏まえて，企業横断で統計的データ活用を行う際に機密性と完全性を保証する秘匿クロス統計技術を開発した．秘匿クロス統計技術では隔離実行環境で①非識別化処理（個人を識別できない状態に加工する処理）・②集計処理・③秘匿処理を行うことで，統計情報が作成される．①非識別化処理は各社が保有するIDを不可逆変換し，個人を識別できない状態に加工する．具体的には，隔離実行環境内でIDにソルトを付与し，一方向関数によって，非識別化ハッシュを得た後，ソルトの破棄を技術的に保証する．さらに，非識別化ハッシュを各社のそれぞれの暗号鍵で暗号化する．②集計処理と③秘匿処理は，隔離実行環境内で準同型暗号技術と差分プライバシーに基づくノイズ付加技術を組み合わせた処理であり，相互に非識別化ハッシュを明かすことなく，プライバシー情報が保護された安全な統計情報を得ることができる．なお，本技術の入力データは，各社が特定の条件に基づいて抽出したIDリストであり，①非識別化処理により，これらのIDリストを，個人を識別できない状態（個人情報ではない状態）に加工した上で，②集計処理と③秘匿処理により，各社が保有する非識別化ハッシュの共通集合要素数を出力する．各社の抽出条件を分析軸^*11に応じて変更し，本技術を繰返し実行することで，クロス集計表（表1）を作成できる．クロス集計表とは，2つ以上の指標を行および列に設定して集計した表を指し，本技術で作成するクロス集計表は，表頭・表側に各社のデータの分析軸をもつ．

表1　2社のデータから作成される統計情報の例

秘匿クロス統計技術は準同型暗号技術，差分プライバシーに基づくノイズ付加技術，隔離実行環境を適切に組み合わせることで，定義した要件を満たしている．よって，秘匿クロス統計技術により，個人のプライバシー情報を保護した上で，企業横断の統計的データ活用を実現することができる．

1. ハッシュ関数：出力された文字列からは，入力された文字列を得ることが不可能という特性をもつ一方向関数の一種．任意の長さの文字列を固定長の文字列（ハッシュ値）に変換する関数であり，同一の入力に対しては，対応する同一の文字列が出力される特性をもつ．
2. ソルト：データをハッシュ化（*8参照）する際に，ハッシュ関数の入力に加えるランダムなデータ．
3. ハッシュ化：ハッシュ関数により元データからハッシュ値を計算すること．なお，ハッシュ化後に，ハッシュ化する際に用いたソルトを破棄するため，ハッシュ値から元のデータを算出することは不可能である．
4. ノイズ付加：出力データからプライバシー情報を保護するため，集計表に対して，乱数を付与すること．
5. 完全性：ソフトウェアやデータが改ざんされていない性質．
6. 分析軸：各社が保有するデータより規定されるクロス集計表の表頭・表側．

本稿では，企業横断の統計的データ活用を実現する秘匿クロス統計技術の概要について解説した．秘匿クロス統計技術は，隔離実行環境内で非識別化処理により個人を識別できない状態（個人情報ではない状態）に加工したデータを，準同型暗号技術，差分プライバシーに基づくノイズ付加技術を適切に組み合わせた処理を行うことで，データのプライバシー情報を保護しつつ，企業横断の統計的データ活用を可能とする．

なお，秘匿クロス統計技術の詳細説明，秘匿クロス統計の基盤設計と評価，および基盤を用いたパートナー企業との有用性評価については本特集別記事にて紹介する[12]～[14]．

秘匿クロス統計技術によりデータの活用と保護を両立させ，さまざまな社会課題の解決に繋げることで，データ活用と社会への還元の好循環を産み，社会と産業のさらなる発展に結びつけていきたい．

• [1] 寺田 雅之，川上 博，岡島 一郎，篠崎 俊哉，坂下 昭宏：“モバイル空間統計の実用化に向けた取り組み,”情報処理デジタルプラクティス，Vol.6，No.1，pp.35-42，Jan. 2015.
• [2] 経済協力開発機構（OECD）：“OECDビックデータ白書　―データ駆動型イノベーションが拓く未来社会,”明石書店，2018．
• [3] EUR-Lex：“Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (Text with EEA relevance)，”Apr. 2016.
  https://eur-lex.europa.eu/eli/reg/2016/679/oj
• [4] California Legislative Information：“1.81.5. California Consumer Privacy Act of 2018 [1798.100 - 1798.199.100]．”
  http://leginfo.legislature.ca.gov/faces/codes_displayText.xhtml?lawCode=CIV&division=3.&title=1.81.5.&part=4.&chapter=&article=
• [5] e-Gov：“個人情報の保護に関する法律等の一部を改正する法律(令和二年法律第44号)．”
  https://www.ppc.go.jp/files/pdf/200612_houritsu.pdf
• [6] S. Garfinkel, J. M. Abowd, and C. Martindale：“Understanding Database Reconstruction Attacks on Public Data，”ACM Queue, Vol.16，No.5，pp.28-53, Oct. 2018.
• [7] 寺田 雅之：“差分プライバシの基礎と動向，”情報処理，Vol.61，No.6，pp.591-599，May 2020.
• [8] NTTドコモ：“モバイル空間統計.”
  https://mobaku.jp/
• [9] 寺田 雅之：“差分プライバシーとは何か,”システム/制御/情報，Vol.63，No.2，pp.58-63,2019.
• [10] 佐久間 淳，陸 文傑：“⑤準同型暗号を用いた秘密計算技術と実用化に向けた活動，”情報処理，Vol.59，No.10,pp.898-903，2018．
• [11] 日本航空株式会社，株式会社ジャルカード，NTTドコモ：“JAL，JAL カード，ドコモが，顧客体験価値向上と社会課題の解決に向けて， 「秘匿クロス統計技術」を用いた企業横断でのデータ活用の実証実験を開始〜各社が保有するデータを相互に開示せず作成した統計情報を活用する国内初の取り組み〜，”Oct. 2022.
  

  https://www.docomo.ne.jp/binary/pdf/info/news_release/topics_221020_00.pdf（PDF形式：0）PDF

• [12] 斧田 佳純，ほか：“秘匿クロス統計技術を用いた企業横断の活用事例―顧客体験価値向上と社会課題の解決に向けた取り組み―,”本誌, Vol.31, No.1, Apr. 2023.
• [13] 野澤 一真，ほか：“企業横断の統計的なデータ活用における安全性を達成する手法,”本誌, Vol.31, No.1, Apr. 2023.
• [14] 長谷川 慶太，ほか：“秘匿クロス統計技術の完全性保証方法の設計と実装,”本誌, Vol.31, No.1, Apr. 2023.