Inférence
Le risque d’inférence désigne la situation où des informations apparemment anonymes ou inoffensives peuvent être utilisées pour déduire des attributs sensibles concernant un individu.
Contrairement à l’individualisation, dont l’objectif est d’identifier une personne de manière unique, l’inférence consiste à tirer des conclusions à partir d’un sous-ensemble de données, sans nécessairement connaître l’identité de la personne.
Un jeu de données peut donc ne présenter aucun risque d’individualisation pour un ensemble d’attributs, tout en restant vulnérable aux attaques par inférence.
Exemple d’application concrète
Imaginez que vous appreniez que votre voisin de 25 ans, mesurant 1,80 mètre, a récemment participé à une étude clinique.
Vous consultez une base de données contenant des informations sur les participants à cette étude et vous trouvez trois individus correspondant à ces caractéristiques.
Même s’il n’y a aucun risque d’individualisation – vous ne pouvez pas savoir lequel est votre voisin – vous remarquez que les trois participants sont malades.
Vous pouvez alors inférer que votre voisin est probablement malade, car les données indiquent une forte corrélation entre ces caractéristiques et la maladie.
Liste des métriques mesurant le critère d’inférence
Facteurs influençant le risque d’inférence
Le risque d’inférence est directement lié à la densité des données et à la précision des informations collectées.
Même si un jeu de données ne permet pas d’identifier directement un individu, il peut tout de même permettre d’inférer des informations supplémentaires sur cette personne, enrichissant ainsi la base de connaissance d’un attaquant.
Importance de la mitigation
Pour limiter les risques d’inférence, il est essentiel de comprendre qu’un jeu de données peut sembler anonyme au premier abord, tout en permettant tout de même de tirer des conclusions sur des individus.
Les métriques que nous avons développées permettent d’évaluer non seulement le risque d’individualisation, mais aussi les risques d’inférence, afin de mieux protéger les données sensibles.
La mitigation de ce risque implique de prendre en compte les interactions entre les variables et d’adopter une approche plus fine, permettant de s’assurer qu’aucune conclusion sensible ne peut être déduite des données disponibles.
Il est important de noter que, pour qu’un risque d’inférence soit considéré comme réel, l’information inférée doit être certaine.
Par exemple, savoir qu’un individu est fumeur et qu’il a 90 % de chances de développer un cancer du poumon ne constitue pas une inférence.