차등 개인정보 보호 시작하기¶

소개¶

이 자습서에서는 차등 개인정보 보호 정책을 사용하여 민감한 데이터를 보호하여 분석가와 안전하게 공유할 수 있는 방법을 설명합니다.

역할, 웨어하우스 및 데이터 만들기¶

이 섹션에서는 다음 설정 단계를 수행합니다.

• 분석가 역할을 만듭니다.

• 보호되는 데이터에 대한 쿼리를 실행하는 데 사용되는 웨어하우스를 만듭니다.

• 개인정보 보호정책에 따라 보호되는 민감한 데이터를 모의로 생성합니다.

이러한 설정 단계 중 차등 개인정보 처리방침과 관련된 설정 단계는 없습니다. 이미 적합한 역할, 웨어하우스 및/또는 데이터 세트가 있는 경우 이를 대신 사용할 수 있습니다.

USE ROLE ACCOUNTADMIN;
CREATE ROLE dp_tutorial_analyst;

-- You can find your own user name by running "SELECT CURRENT_USER();"
GRANT ROLE dp_tutorial_analyst TO USER <user_name>;

CREATE OR REPLACE WAREHOUSE dp_tutorial_wh;
GRANT USAGE ON WAREHOUSE dp_tutorial_wh TO ROLE dp_tutorial_analyst;

-- Create the table
CREATE OR REPLACE DATABASE dp_db;
CREATE OR REPLACE SCHEMA dp_db.dp_schema;
USE SCHEMA dp_db.dp_schema;
CREATE OR REPLACE TABLE dp_tutorial_diabetes_survey (
  patient_id TEXT,
  is_smoker BOOLEAN,
  has_difficulty_walking BOOLEAN,
  gender TEXT,
  age INT,
  has_diabetes BOOLEAN,
  income_code INT);

-- Populate the table
INSERT INTO dp_db.dp_schema.dp_tutorial_diabetes_survey
VALUES
('ID-23493', TRUE, FALSE, 'male', 39, TRUE, 2),
('ID-00923', FALSE, FALSE, 'female', 82, TRUE, 5),
('ID-24020', FALSE, FALSE, 'male', 69, FALSE, 8),
('ID-92848', TRUE, TRUE, 'other', 75, FALSE, 3),
('ID-62937', FALSE, FALSE, 'male', 46, TRUE, 5);

개인정보 처리방침 정의하기¶

테이블 또는 뷰에 개인정보 보호 정책 을 적용하면 차등 개인정보 보호로 보호되며, 그룹 또는 사용자에게 개인정보 보호 예산 을 할당하여 여러 쿼리가 민감한 정보를 너무 많이 노출하지 않도록 Snowflake가 방지할 수 있습니다.

자체 데이터베이스에 개인정보 처리방침을 생성합니다. 이것은 Snowflake의 모든 유형의 정책에 대한 모범 사례입니다. 동일한 데이터베이스에 정책을 만드는 경우 데이터베이스를 복제하면 동기화되지 않은 정책의 복사본이 생성됩니다. 모든 정책을 별도의 단일 데이터베이스에 저장하고 여러 테이블에 적용하면 각 정책의 복사본 하나를 관리하고 업데이트할 수 있습니다.

이 새 정책의 이름은 patients_policy 입니다.

-- Define a privacy policy. Use default budget, budget window, max budget per aggregate.
CREATE OR REPLACE DATABASE policy_db;
CREATE OR REPLACE SCHEMA policy_db.diff_priv_policies;
CREATE OR REPLACE PRIVACY POLICY policy_db.diff_priv_policies.patients_policy AS () RETURNS privacy_budget ->
  CASE
    WHEN CURRENT_ROLE() = 'ACCOUNTADMIN' THEN no_privacy_policy()
    WHEN CURRENT_ROLE() IN ('DP_TUTORIAL_ANALYST')
      THEN privacy_budget(budget_name => 'clinical_analysts')
    ELSE privacy_budget(budget_name => 'default')
END;

참고:

• 적용되는 개인정보 처리방침은 CASE 문에 명시된 대로 사용자의 역할에 따라 달라집니다. CURRENT_ROLE()는 대문자 값을 반환하므로 여기서 역할 이름은 대문자로 지정됩니다.

• 역할별로 별도의 개인정보 보호 예산을 만들면 분석가와 다른 사용자에게 사용되는 예산을 구분하고 각 그룹별 사용량을 모니터링할 수 있습니다.

• 개인정보 보호 정책이 평가 시 유효한 개인정보 보호 예산으로 결정되면 사용자는 집계되지 않은 SELECT 쿼리를 실행할 수 없고 결과에 노이즈가 추가되며 쿼리 수는 해당 정책에 대한 개인정보 보호 예산에 의해 제한됩니다.

• 계정 관리자 역할에는 개인정보 처리방침이 적용되지 않습니다. 즉, 해당 역할로 실행되는 쿼리에는 차등 개인정보 보호가 적용되지 않습니다. 개인정보 보호 정책이 없음을 표시하려면 NULL 을 반환하는 대신 no_privacy_policy() 를 반환해야 합니다.

• DP_TUTORIAL_ANALYST 역할은 개인정보 보호 예산, 예산 윈도우 및 집계당 최대 예산에 대한 기본값이 있는 “clinical_analysts”라는 개인정보 보호 정책을 사용합니다.

• SELECT 액세스 권한이 있는 다른 모든 사용자에게는 기본 개인정보 보호 정책 값이 포함된 ‘기본’이라는 이름의 개인정보 보호 예산이 제공됩니다. 다른 사용자가 이 테이블에서 쿼리를 실행하지 못하도록 하려면 테이블에 대한 SELECT 권한을 제한해야 합니다. 테이블 수준 정책에는 ELSE 절이 필요하며 NULL 을 반환할 수 없습니다.

개인정보 처리방침 지정하기¶

다음으로 방금 생성한 개인정보 보호 정책을 테이블에 할당하여 차등 개인정보 보호로 보호합니다.

-- Assign the privacy policy to the table.
ALTER TABLE dp_db.dp_schema.dp_tutorial_diabetes_survey
ADD PRIVACY POLICY policy_db.diff_priv_policies.patients_policy ENTITY KEY (patient_id);

참고:

ENTITY KEY 절은 차등 개인정보 보호로 보호해야 하는 엔터티를 고유하게 식별하는 열을 지정합니다. 각 엔터티가 단 하나의 행에 나열된 단일 테이블이 있는 이 자습서에서는 엔터티 키를 정의하는 것이 덜 중요합니다. 그러나 각 환자가 여러 행에 나타날 수 있는 경우(예: 환자 방문 또는 환자 약물 복용을 캡처하는 경우) 키를 정의하는 것이 중요할 것입니다. 나중에 데이터베이스에 두 번째 테이블이 추가될 경우를 대비하여 여기에 키를 정의하는 것이 좋습니다. 엔터티 수준 개인정보 보호 에 대해 자세히 알아보십시오.

개인정보 보호 도메인 정의¶

다음으로 테이블의 일부 열에 개인정보 보호 도메인 을 설정합니다.

개인정보 보호 도메인 은 해당 열의 결과에 표시할 수 있는 값의 범위를 시스템에 알려줍니다. 시스템은 이 정보를 두 가지 방식으로 사용합니다.

• 이 범위를 벗어나는 값은 열이 문자열인지 숫자/날짜 값인지에 따라 생략되거나 경계에 고정됩니다.

• 시스템은 이 ‘유효 범위’를 사용하여 각 측정값에 적용되는 노이즈를 결정하기 위해 결과의 범위를 결정합니다.

분석가는 예를 들어 WHERE 절을 사용하여 도메인을 추가로 제한하여 차등 개인정보 보호로 인해 발생하는 노이즈의 양을 잠재적으로 줄일 수 있습니다(도메인이 작을수록 노이즈가 적습니다). 열에 개인정보 보호 도메인을 설정하지 않은 경우 분석가가 해당 열의 값을 보려면 WHERE 절을 사용하여 개인정보 보호 도메인을 추가해야 합니다(개인정보 보호 도메인이 없는 열은 쿼리에 표시되거나 사용될 수 없음).

당뇨병 설문조사 데이터의 경우 성별, 연령, income_code 의 3개 열에 개인정보 도메인을 설정합니다. 부울 열에는 개인정보 보호 도메인을 설정하지 않으며(가능한 값이 2개뿐이므로 개인정보 보호 도메인은 의미가 없고 필수가 아님), 사용자가 개인정보 보호 도메인에서 설정한 값을 볼 수 있으므로 데이터에 어떤 환자 IDs 가 있는지 알 수 있으므로 patient_id 열에 개인정보 보호 도메인을 설정해서는 안 됩니다. ZIP 코드와 같이 제한된 수의 문자열 값에 대해 개인정보 보호 도메인을 지정해야 하는 경우, 가능한 값을 모호하게 만들기 위해 존재하지 않는 값을 추가하여 도메인 정의를 패딩 해야 합니다.

-- Define privacy domains.
ALTER TABLE dp_db.dp_schema.dp_tutorial_diabetes_survey ALTER (
COLUMN gender SET PRIVACY DOMAIN IN ('female', 'male', 'other'),
COLUMN age SET PRIVACY DOMAIN BETWEEN (0, 90),
COLUMN income_code SET PRIVACY DOMAIN BETWEEN (1, 8)
);

분석가에게 테이블에 대한 액세스 권한 부여¶

데이터에 개인정보 보호 정책을 지정한 후에만 테이블에 대한 액세스 권한을 부여하십시오. 그렇지 않으면 개인정보 처리방침을 적용하기 전에 사용자가 데이터를 볼 수 있습니다.

GRANT USAGE ON DATABASE dp_db TO ROLE dp_tutorial_analyst;
GRANT USAGE ON SCHEMA dp_schema TO ROLE dp_tutorial_analyst;
GRANT SELECT
  ON TABLE dp_db.dp_schema.dp_tutorial_diabetes_survey
  TO ROLE dp_tutorial_analyst;

몇 가지 쿼리 실행하기¶

마지막으로, 데이터에 대한 쿼리 실행을 시작할 수 있습니다!

관리자와 분석가 간에 역할을 전환하여 각 역할의 동작과 출력을 비교합니다.

USE ROLE ACCOUNTADMIN;
SELECT * FROM dp_db.dp_schema.dp_tutorial_diabetes_survey;

USE ROLE dp_tutorial_analyst;
SELECT * FROM dp_db.dp_schema.dp_tutorial_diabetes_survey;

-- Run a basic query without DP.
USE ROLE ACCOUNTADMIN;
SELECT COUNT(DISTINCT patient_id)
  FROM dp_db.dp_schema.dp_tutorial_diabetes_survey
  WHERE income_code = 5;

USE ROLE dp_tutorial_analyst;
SELECT COUNT(DISTINCT patient_id)
  FROM dp_db.dp_schema.dp_tutorial_diabetes_survey
  WHERE income_code = 5;

-- Retrieve noise interval for the previous query.
USE ROLE dp_tutorial_analyst;
SELECT COUNT(DISTINCT patient_id) as c,
  DP_INTERVAL_LOW(c) as LOW,
  DP_INTERVAL_HIGH(c) as HIGH
  FROM dp_db.dp_schema.dp_tutorial_diabetes_survey
  WHERE income_code = 5;

USE ROLE <role_name>;
SELECT * FROM TABLE(SNOWFLAKE.DATA_PRIVACY.ESTIMATE_REMAINING_DP_AGGREGATES(dp_db.dp_schema.dp_tutorial_diabetes_survey));

정리¶

나중에 본인 또는 조직의 다른 사람이 자습서를 다시 실행할 수 있도록 리소스를 정리하십시오.

USE ROLE ACCOUNTADMIN;
DROP ROLE dp_tutorial_analyst;
DROP WAREHOUSE dp_tutorial_wh;
ALTER TABLE dp_tutorial_diabetes_survey
  DROP PRIVACY POLICY policy_db.diff_priv_policies.patients_policy;
DROP DATABASE dp_db;
DROP DATABASE policies_db;