Giyilebilir Sağlık Verileri ve Makine Öğrenimi ile Kişilerin Yeniden Tanınması

Massachusetts Lowell Üniversitesi’nden araştırmacılar tarafından giyilebilir sağlık verilerine dayalı yeni bir tür gizlilik saldırısı tespit edildi. Kişi Yeniden Tanıma Saldırısı (PRI-Saldırı), HIPAA uyumlu, halka açık veri giyilebilir sağlık cihazlarından kalp atış hızı, nefes alma ve el jesti verisi gibi verileri kullanarak bireylerin kimliğini belirlemek için kullanılır.

Bu açıklık, ABD’de Sağlık Sigortası Taşınabilirlik ve Hesap Verebilirlik Yasası (HIPAA) tarafından mümkün kılınır. HIPAA, tıbbi verilerin anonim kalmasını gerektirir, ancak ham sensör verilerini (cilt sıcaklığı ve ivmeölçer (ACC) verileri gibi) gizlilik duyarlı olarak görmez ve bu nedenle bu tür kamuyla paylaşılan verilerin şifrelenmesini veya geleneksel hasta verilerine (sağlık kayıtları gibi) sağladığı aynı genel korumalara tabi olmasını gerektirmez.

Vektörel Veriden Görsel Veriye

PRI-Saldırı, yorumlanan görüntü verilerini kullanarak diğer sağlık verilerine karşılık gelen ortak desenleri belirlemek için kullanılır. Bir kişinin cilt tepkisi, örneğin, video (fotopletizmoskopi) ile değerlendirilebilir ve giyilebilir saatler ve diğer izleme cihazlarından gelen anonim vektör bilgilerine eşlenebilir. Fotopletizmoskopi, kalp atış hızı verilerini sağlar ve anonimleştirilmiş giyilebilir kalp verisiyle eşlenebilir.

Gesture tanıma, vektör verisinden görsel matrise çevrilebilecek başka bir “anahtar”dır ve bu, yorumlanan görüntü/video verilerini anonimleştirilmiş ivmeölçer bilgilerine eşlemeye olanak tanır.

Giyilebilir verilerden el jesti bilgileri. Kaynak: https://arxiv.org/pdf/2106.11900.pdf

Sensör Verileri olarak Kişisel Bilgiler

UML Yardımcı Profesörü Mohammad Arif Ul Alam’ın araştırması, fizyolojik sensör verilerinin gerçekten kişisel bilgiler olabileceğini ve biyolojik olarak web’de kullanıcı gizliliği korumaya yönelik yeni girişimlerin altını oyan tarayıcı parmak izi tekniklerinin bir benzeri olduğunu iddia etmektedir.

Hipotezi test etmek için, araştırmacı, bir giyilebilir ivmeölçerden kaydedilen jest verilerini yorumlayan ve bu hareketleri giyilebilir sağlık cihazları tarafından kaydedilen hareketlerle eşlenebilecek bir görsel kayıt haline çeviren bir el jesti tanıma ve lokalizasyon çerçevesi geliştirdi.

Multi-Modal Siamese Neural Network (mm-SNN) oluşturuldu ve destek vektör makinesi (SVM) ile sınıflandırılan jest bilgilerini yorumlamak için kullanıldı. Bir ağ, vektör bilgilerini (3D uzayda görüntü bilgisi olarak yorumlanan) işler ve ikinci ağ, sensör verisinden kaydedilen fizyolojik verileri işler.

Test Edilmesi

Sistem, beş gönüllü öğrencinin yedi gün boyunca Empatica E4 bileklik takarak videogames oynadığı “Gamer’s Fatigue Dataset” dahil çeşitli veri setleri üzerinde test edildi. Saat, ivmeölçer (ACC), elektrodermal kontekst (EDA), cilt sıcaklığı ve fotopletizmoskopi (PPG) sensörleri içerir.

E4, ayrıca sekiz gönüllü tarafından yirmi dakika boyunca sandviç hazırlayıp yedikleri “restoran verileri” veri setinde ve 22 yaşlı konu tarafından on üç senaryolu aktivite gerçekleştirdikleri “yaşlı yetişkinler” veri setinde kullanıldı.

Son olarak, araştırmacılar, 28 sağlıklı erkekte ve kadında ortalama 42 gün boyunca E4’e benzer çok sensörlü bir giyilebilir cihaz kullanarak kamuyla paylaşılan “Healthy Adults Fatigue Dataset”i kullandılar.

Sonuçlar, kalp atış hızı ve nefes alma hızının yeniden tanımlamada en kesin yöntemler olduğunu, ortalama %66’nın üzerinde bir doğruluk oranıyla gösterir.

PRI-Saldırı metodolojisinin test sonuçları. PPG: fotopletizmoskopi; HR: kalp atış hızı; BR: nefes alma hızı; PVP: Kan Hacmi Darbesi (PPG’den elde edilir); IBI: Kalp Atış Aralığı (PPG’den elde edilir); TC: EDA sinyalinin tonik bileşeni; Fazik Bileşen (aynı kaynak); Temp: Sıcaklık.

Araştırma sonuçları:

‘Çağdaş bilgisayar görüşü teknolojisi, kamu güvenlik kameralarından el jestlerini ve ilgili fizyolojik sinyalleri (kalp atış hızı, nefes alma hızı) öğrenmek için kolayca kullanılabilir ve bu büyük miktarda kaydedilen video, saldırganlar tarafından kullanıcıya özgü biyometrik verileri HIPAA uyumlu sunuculardaki giyilebilir sensör verisinden açığa çıkarmak için kullanılabilir.’

HIPAA, PHR Verilerini ‘Varsayılan Olarak Anonimleştirilmiş’ Olarak Değerlendirir

ABD hükümeti, kişisel sağlık kayıtlarının (PHR) büyümesini tanımış ve bunları ‘bireyin sağlık bilgilerinin elektronik kaydı, bireyin bu bilgilere erişimi kontrol ettiği ve kendi sağlık bakımına katılmak için bilgiyi yönetmek, izlemek ve katılmak için yetkiye sahip olabileceği‘ olarak sınıflandırır.

Bununla birlikte, bu olgu özel sektörden kaynaklandığından, hükümet bu verilerin resmi bir denetimini yapmaz ve kişisel olarak tanımlanabilir bilgiler (PII) içermediğini belirterek, bir rapor yayınlar:

‘Erişim, güvenlik ve gizlilik politikaları etrafındaki boşluklar devam etmekte ve hem tüketiciler hem de yenilikçiler arasında karışıklık devam etmektedir. Giyilebilir fitness takip cihazları, sağlık sosyal medyası ve mobil sağlık uygulamaları, tüketici katılımı fikrine dayanmaktadır. Ancak yasalarımız ve düzenlemelerimiz bu yeni teknolojilerle aynı hızda ilerlememiştir.’