case04（再構築デモ）: 事例概要 — 1/7¶
この事例について（出典と位置づけ・重要）
この case04 は、Garfinkel・Abowd・Martindale (2019)「Understanding Database Reconstruction Attacks on Public Data」（米国センサス局／Communications of the ACM）を参考に作成した、仮想の事例（デモ）です。数値は論文が公表した架空ブロック（7人）のもので、実在の個人とは無関係です（詳しい出典は 参照資料）。
法域についての注意: 参考にした事例は海外（米国）の事例です。本ページ以降で触れる日本の制度（個人情報保護法・委員会規則）への言及は、「もし同種の事象を日本の制度に当てはめて考えたら」という仮定の説明です。
case03 が「個票をハッシュ化して公開 → 復元」だったのに対し、この case04 は「個票を出さず集計統計だけ公開 → それでも個票が復元される」という話です。「統計にすれば安全」という思い込みが、なぜ・どう崩れるのかを追体験します。用語は 用語集 を参照。
あらすじ¶
ある統計機関が、小さな地区（住民7人）について、集計統計を公表しました。個票（誰が何歳か）は出さず、人数・年齢の中央値・平均を、性別・人種・配偶関係などのグループ別にまとめた表だけを公開します。しかも「人数の少ない欄は伏せれば安全」と考え、14行のうち7行を秘匿しました。
ところが、ある分析者（攻撃者）は、公表された統計表だけを使って——元の個票は一切見ずに——7人全員の年齢・性別・人種・配偶関係を一意に言い当ててしまいました。これが データベース再構築攻撃（Database Reconstruction Attack） です。
この事例の教訓 — 安易な統計公表は2つの意味で危険
集計統計でも、「多数・高精度に」公表すると、技術と法律の両面で危険です。
- 技術: 公表した統計の一つひとつが、個票についての方程式（制約）になります。方程式を十分な数そろえて解くと、個票が一意に定まってしまう（このデモで実演）。セルの秘匿（人数の少ない欄を伏せる）だけでは防げません。
- 法律（日本の制度に当てはめて考えると）: 「統計にしたから個人情報ではない」と安易に大量公表すると、再構築によって結果的に個人が特定されうる。匿名加工情報として公表・第三者提供するなら、施行規則第34条の基準（一般化・特異な記述の削除など）や、統計公表にノイズを加える技術（差分プライバシー）を踏まえた設計が要ります。
→ 法令・委員会規則と、その実装例を正しく理解して運用する必要があります（詳しくは 結果）。
なぜ「統計にすれば安全」ではないのか¶
これは有名な再構築定理の考え方です。集計統計は、個票についての情報を間接的に含みます。1つの統計だけなら曖昧さが残りますが、多くの正確な統計を重ねると、それらを同時に満たす個票の組合せが1通りに絞られてしまいます。
- 人数は「その条件に当てはまる人が何人か」を、
- 平均は「その集団の年齢の合計」を（丸めの範囲で）、
- 中央値は「真ん中の人の年齢」を、
それぞれ教えてくれます。これらを連立させて解くと、7人の中身が復元できます。伏せた7行があっても、残りの7行だけで一意に決まる——だから「人数の少ない欄を秘匿すれば安全」という直感も成り立ちません。
この問題は、米国センサス局が2020年国勢調査に差分プライバシー（統計に数学的なノイズを加える手法）を導入する大きな動機になりました。
元データと公開データ¶
| データ | 内容 | 立場 |
|---|---|---|
住民マスタ（residents） |
住民7人の年齢・性別・人種・配偶関係 | 統計機関だけが持つ（非公開） |
公表統計表（published_statistics） |
グループ別の人数・中央値・平均（14行・うち7行は秘匿） | 一般公開 |
攻撃者が手にできるのは公表統計表だけ。それでも7人の個票を復元できてしまう——というのがこのデモです。詳細は次ページの データを見る へ。
出典: この事例は、実在の再構築攻撃の解説を参考にした教材用デモです。Simson Garfinkel, John M. Abowd, Christian Martindale, "Understanding Database Reconstruction Attacks on Public Data", Communications of the ACM 62(3), 2019（米国センサス局。2020年国勢調査への差分プライバシー導入の根拠の一つ）。論文中の架空ブロック（7人）の数値をそのまま用いています（参照資料）。