Privacidade diferencial em Snowflake Data Clean Room¶

Como funciona a privacidade diferencial para clean rooms¶

As clean rooms oferecem sua própria implementação de privacidade diferencial que é diferente da privacidade diferencial do Snowflake, portanto, leia este documento para entender o comportamento e as configurações diferentes.

A privacidade diferencial protege a privacidade de entidades em seus dados. As clean rooms definem uma entidade como um valor exclusivo em uma coluna. As clean rooms determinam quais colunas contêm dados que provavelmente são confidenciais; por exemplo, um número de previdência social ou endereço de e-mail provavelmente é uma entidade confidencial, mas uma cor não. Quando a privacidade diferencial é aplicada, as clean rooms podem identificar uma ou mais colunas de entidades em cada tabela. Você não pode configurar quais colunas são designadas como colunas de entidade.

A privacidade diferencial em clean rooms também adiciona ruído aos resultados numéricos associados a cada entidade.

Os usuários podem tentar comparar vários resultados de consulta diferentes para reduzir o ruído; isso é chamado de ataque de diferenciação. Para atenuar os ataques de diferenciação, a privacidade diferencial calcula e monitora um orçamento de privacidade atribuído a uma conta. Cada consulta tem um custo que reflete o quanto a privacidade da entidade é exposta por essa consulta. Esse custo é determinado matematicamente e depende da consulta, dos dados e das consultas anteriores desse usuário. Se o custo de uma consulta exceder o limite restante do orçamento de privacidade, a consulta falhará. Caso contrário, a consulta pode continuar e o custo é adicionado ao orçamento diário de privacidade do usuário. O orçamento de privacidade é atualizado diariamente.

A privacidade diferencial em clean rooms não aplica restrições de agregação nas consultas, mas você pode adicionar restrições de agregação em seus dados ou modelos de forma independente.

Habilite e gerencie a privacidade diferencial na UI¶

Na UI de clean room, os provedores podem definir configurações de privacidade no nível do modelo; os consumidores não podem ativar ou modificar configurações de privacidade diferenciais. Os modelos Snowflake padrão usados na UI de clean rooms podem ter diferentes configurações de privacidade por modelo.

Para usar a UI de clean room para ativar ou desativar a privacidade diferencial de um modelo:

1. Abra a guia Created ` da página Clean Rooms

2. Selecione Edit ou » Edit no bloco da clean room (dependendo se a clean room permite que você execute uma análise).

3. Selecione Next até chegar em Configure Analysis & Query.

4. Na parte inferior da página, expanda Privacy Settings. Selecione ou desmarque Differential Privacy e forneça suas configurações para esse modelo, incluindo orçamento de privacidade para usuários e custo de consulta. Você também pode definir valores de limite para aplicar tamanhos mínimos de grupo nessa consulta.

5. Para definir configurações para um modelo diferente, primeiro defina os valores para o modelo atual e, em seguida, escolha um modelo diferente no seletor de modelos.

Habilite e gerencie a privacidade diferencial na API¶

Nas API de clean rooms, cada lado pode ativar e configurar a privacidade diferencial no nível do colaborador.

Todos os modelos personalizados usam as mesmas configurações de privacidade diferenciais em uma clean room. Os modelos fornecidos pelo Snowflake podem ser configurados com definições de privacidade individuais na UI.

Use os procedimentos a seguir para configurar a privacidade diferencial:

• consumer.enable_templates_for_provider_run – Ativar ou desativar a privacidade diferencial com valores padrão para todas as análises executadas pelo provedor.

• consumer.set_privacy_settings – Especificar configurações de privacidade diferenciais individuais em análises executadas pelo provedor envolvendo modelos personalizados.

• provider.set_privacy_settings – Especificar configurações de privacidade individuais diferenciadas em análises conduzidas pelo consumidor envolvendo modelos personalizados.

• provider.add_custom_sql_template – Fornecer um parâmetro sensitivity para aumentar ou diminuir o epsilon (nível de ruído) de um modelo acima ou abaixo do epsilon de linha de base definido para o consumidor.

• provider.add_consumers – Especificar as configurações de privacidade por consumidor. Você pode adicionar o mesmo cliente várias vezes com configurações de privacidade diferentes para alterar suas configurações de privacidade.

• provider.suspend_account_dp_task – Desative o monitoramento do orçamento de privacidade diferencial para todas as clean rooms dessa conta. A privacidade diferencial não é mais aplicada.

• provider.resume_account_dp_task – Ative o monitoramento de orçamento de privacidade diferencial para todas as clean rooms dessa conta. Todas as configurações de privacidade diferenciais serão respeitadas.

As configurações de privacidade de uma clean room são armazenadas em SAMOOHA_CLEANROOM_cleanroom_ID.admin.privacy_budget, onde APPLICATION_ID é o nome de um modelo (NULL representa todos os modelos personalizados) e PARTY_ACCOUNT é o usuário ao qual ele se aplica.

Funcionalidade adicional de privacidade¶

cleanroom.addnoise(<val>, <epsilon>, <noiserand>, [<gaussian>], [<delta>])

CALL samooha_by_snowflake_local_db.provider.add_custom_sql_template(
$cleanroom_name,
$template_name,
$$
SELECT
  cleanroom.addNoise(
    count(distinct p.hashed_email),  -- Value
    {{ privacy.epsilon | sqlsafe }}, -- Epsilon
    UNIFORM(0::FLOAT, 1::FLOAT, RANDOM()) -- Noiserand
    ) AS noisy_count
FROM
    IDENTIFIER({{ source_table[0] }}) p
$$);

Gerenciamento dos custos de privacidade diferencial¶

Privacidade diferencial incorre em custos mesmo quando usuários individuais ou modelos não ativaram a privacidade diferencial, porque o sistema verifica cada consulta para saber se a privacidade diferencial deve ser aplicada. Se quiser eliminar esse custo, você pode desativar a privacidade diferencial da conta:

1. Primeiro, desative a privacidade diferencial para todas as salas limpas usando o aplicativo da Web:

   1. Faça login no aplicativo da Web.

   2. Desative a privacidade diferencial em todas as salas limpas sem falhas, mesmo que não sejam compartilhadas ou publicadas:

      1. Selecione Clean rooms » Created » Edit.

      2. Selecione Next até chegar em Configure Analysis & Query.

      3. Na parte inferior da página, expanda Privacy Settings. Desmarque Differential Privacy se ele estiver selecionado e clique em Next e Finish para salvar as alterações. Se ela não estiver selecionada, basta clicar em Cancel e passar para a próxima sala limpa.

2. Por fim, suspenda a tarefa de privacidade diferencial em segundo plano em sua conta chamando o procedimento provider.suspend_account_dp_task no Snowsight.

Algumas observações e solução de problemas:

• Se você se esquecer de desativar a privacidade diferencial para uma sala limpa e suspender a tarefa em segundo plano, a privacidade diferencial poderá não funcionar nessa sala limpa para os usuários que já a instalaram.

• Se a privacidade diferencial for ativada em uma sala limpa antes de a sala limpa ser instalada, a instalação da sala limpa falhará. Nesse caso, é necessário desativar a privacidade diferencial na sala limpa ou reativar a tarefa, conforme descrito abaixo.

Se mais tarde você quiser ativar a privacidade diferencial na conta, ative a privacidade diferencial para qualquer sala limpa na conta ou chame o procedimento provider.resume_account_dp_task no Snowsight.