27

個人情報漏えい事件・被害に関するイベント・スタディ

＊

竹概

村敏

彦

要

近年，個人情報漏えい事件・被害の件数が年々増加の一途をたどっており，その内容および原因も多様化している。これらのセキュリティ・インシデントが発生すれば，当該企業，また IT サプライチェーンでつながっている企業であればそれらの企業にも，大きな影響を及ぼすことが予想される。本研究では，2015 年 1 月から 2020 年 12 月に国内で発生した個人情報漏えい事件・被害の公開情報をもとに，このインシデントの発生に関する公表が企業の株価に与える影響を，イベント・スタディと呼ばれる手法を用いて検証した。その結果，インシデントの発生に関する公表が株価の低下（企業価値の毀損）をもたらすことなどを明らかにした。また，業種別，インシデント発覚から公表までの期間別，個人情報漏えいの原因別に，更なる分析を行ったところ，インシデントの発生に関する公表が株価に与える影響にもいくつかの特徴的な傾向があることを明らかにすることができた。

1．はじめに企業を狙ったサイバー攻撃は年々巧妙になっており，それに起因するセキュリティ・インシデントが多数報告されている。これらの事件・被害に遭遇した場合，その公表を行うタイミングも難しく，急いで不正確な情報を公表してしまうと，時として混乱を招くことになる。また，逆に多くの時間を要すれば被害者の通報やメディアの取材により情報漏えい事実が暴露されることで事実を隠ぺいしているとして非難され，企業イメージを大きく損なうことにもなる。そのため，（早急な）公表することを躊躇する企業も少なくない。他方で，セキュリティ強化の観点からは，漏えいした情報が悪用される二次被害の防止や他社での類似事案の発生を回避するといった理由から，事実を公表することが望ましいと考えられる。これらの事件・被害に遭遇した企業は自ら事実を公表し，対策状況を示すことにより，社会的責任を果たし信頼回復に努めるという企業姿勢を表明することができる。このようなセキュリティ・インシデント被害の公表およびその姿勢＊ 本研究は，2021 年暗号とセキュリティシンポジウム（SCIS2021）で報告した「個人情報漏えい事件・被害に対する株式市場の反応に関する分析」（竹村敏彦・小山明美・小川隆一）を加筆修正したものである。
SCIS2021 の座長ならびに参加者から有益なコメントをいただいた。個々に感謝の意を記す。なお，残る誤りは著者に帰すものである。また，本研究の一部は，城西大学・学長所管研究の助成ならびに独立行政法人日本学術振興会の科研費（21K01574）の助成を得て行ったものである。

28

個人情報漏えい事件・被害に関するイベント・スタディは，上場している企業であれば，投資家の行動に影響を与えるきっかけとなる。
本研究では，公表された事例をもとにイベント・スタディと呼ばれる手法を用いて，個人情報漏えい事件・被害の公表が株価に与える影響について分析を行い，そこからその特徴を明らかにする。

2．関連研究個人情報漏えい事件・被害をはじめとするセキュリティ・インシデントが企業価値に与える影響についての研究は，海外において古くから進められている。例えば，イベント・スタディの手法を用いて，セキュリティ・インシデントの発表で，米国における該当企業の株価が 2.1% 下落する一方で，セキュリティ開発企業では，1.36% 株価が上昇することなどを明らかにしている（Cavusoglu, et al., 2004）。Malliouris and Simpson（2019）は，海外におけるイベント・スタディによるセキュリティ・インシデントが企業価値に与える影響についての先行研究を整理しているので参照されたい。
日本においても同様に，イベント・スタディによるセキュリティ・インシデントが企業価値に与える影響についての研究蓄積が進められている（廣松，2011; 田中・中野，2016; Adachi andTakeda, 2016; 竹村他，2020; 竹村他，2022 など）。この中でも，竹村他（2020）は，IT サプライチェーンに注目した分析であり，インシデントの発生は委託先企業よりも委託元企業の株価を低下させてしまうことや，原因が不正アクセスの場合や情報の漏洩が発生した場合は継続的に企業価値が低下し続けることなどを明らかにしている。また，竹村他（2022）はコロナ禍におけるセキュリティ・インシデントの公表が株価に与える影響を分析した結果，インシデントの発生が株価に与えている影響は以前と比べてあまり表れにくくなっているとことを指摘している。しかしながら，原因が不正アクセスの場合は継続的に企業価値が低下し続けることなどを明らかにしている。これらの研究は，日本市場の特徴を反映した影響もありうるため，今後も日本の事例を対象とした分析の充実が求められている。
概ね，国内外ともにセキュリティ・インシデントの公表が株価に対して負の影響を及ぼすことを指摘する研究が多いものの，両者の間には必ずしも関連性が見られないことを指摘する研究もあり，この主張はコンセンサスが得られているとはいえない。また，研究対象のインシデント発生時期が 2000 年代までとなっているものが多く，2010 年代に入って以降の最近のインシデントを対象にした研究は限られている。さらに，一部の研究を除き，これらの先行研究の共通点として，シングルファクター・モデル（市場ポートフォリオのリターンの変動だけで企業のリターンの変動を説明しようとするモデル）を想定したイベント・スタディによる検証であることが挙げられる。しかしながら，近年では，イベント・スタディのポピュラーな手法として 3 ファク

個人情報漏えい事件・被害に関するイベント・スタディ

29

ター・モデル（Fama and French, 1993）や 5 ファクター・モデル（Fama and French, 2015）などが提唱されている。
竹村他（2020）では，情報処理推進機構（2018）で取り上げられた限られた事例をもとに，インシデント被害のインパクトの観点で抽出した分析対象を設定して分析が行われており，必ずしも発生したインシデント全体の傾向を捉えられていたとは言い切れない。本研究では，分析期間を直近のものにアップデートするとともに，多くの事例の収集を行い，3 ファクター・モデルを用いて，個人情報漏えい事件・被害の公表が企業の株価に与える影響について分析を行う。

3．検証方法とデータセット
3.1

イベント・スタディ

本研究では，企業のセキュリティ・インシデント発生に関するニュースリリースの公表が，企業の株価に与える影響を分析するために，イベント・スタディと呼ばれる分析手法を用いた。イ
ベント・スタディとは，ある特定の経済上のイベントが企業の価値にどのような影響を与えるかを測定するための分析手法であり，経済学やファイナンスの分野で広く利用されているものである。イベント・スタディが広く利用される理由は，市場が効率的であるという仮定の下では，イベントの影響はすぐに資産価格に反映されることとなることに着目することで，イベントの影響を容易に計測することが可能となるためである。財務諸表などの株価以外の方法で計測しようとする場合に比べて，イベントの影響を瞬時に捉えて，その影響の時系列的な推移を計測することができる点がメリットである。イベント・スタディの具体的な手続きは，1）イベント・ウィン
ドウおよび推定ウィンドウの設定，2）超過リターン（AR; abnormal return）および累積超過リターン（CAR; cumulative abnormal return）の算出，そして 3）検定統計量 J2 と è による有意性検定，から構成される。

イベント・ウィンドウおよび推定ウィンドウの設定
イベント・ウィンドウとは，イベント（本研究では，当該企業のホームページでインシデント発生に関するニュースリリース）の公表の影響を受けて株価が変動すると考えられる期間のこと
である（1）。本研究ではイベント・ウィンドウ（(ô1, ô2); ô1 ≥ ô2）として，表 1 に示した通り 16 種類を考える。この理由は，投資家間に情報の非対称性がある場合，市場が報道に対して瞬時に反応するとは限らなかったり，インシデント発生に関するニュースリリースが公表される前にソーシャルメディアを含むメディアで報告されたりすることがあるためである。また，複数のイベント・ウィンドウを用いることで結果の頑健性のチェックにも有用となる。加えて，後述するとおり，個人情報漏えいの原因が不正アクセスなどの場合，内部調査を経てから公表することが多30

個人情報漏えい事件・被害に関するイベント・スタディ

く，この間サービス利用者が SNS などで不具合などを報告することもあるため，イベント公表
日から 20 日前からとイベント・ウィンドウを広めに設定している（2）。

表1

イベント・ウィンドウ

次に，推定ウィンドウとは，イベントの影響がないと考えられる期間のことである。本研究では，264 日前から 21 日前までの 244 日間（1 年間の概ねの営業日数）を推定ウィンドウとしている。
これらのイベント・ウィンドウ，推定ウィンドウについて図示して表したものが図 1 である。

図1

イベント・スタディの考え方

AR および CAR の算出
本研究では，Fama-French の 3 ファクター（FF3）モデルを採用して，イベント・スタディを行う（Fama and French, 1993）。以下，簡単に FF3 について説明する。
t 時点における対象となる企業 i の日次リターン Ri(t) と市場ポートフォリオの日次リターン
RM(t) は以下のように計算される。

Ri(t)=

Pi(t)-Pi(t-1)
Pi(t-1)（1）

個人情報漏えい事件・被害に関するイベント・スタディ

RM(t)=

PM(t)-P<(t-1)
PM(t-1)31（2）これらを用いて，式（ 3 ）を推定する。
Ri(t)-rf(t)=ai+bi[RM(t)-rf(t)]+siSMB(t)+hiHML(t)+±i(t)（3）

ここで，RM(t)-rf(t) は市場リスク・プレミアム，rf(t) はリスクフリーレート，SMB(t) はサイズ・プレミアム，HML(t) はバリュー・プレミアム，±i(t) は誤差項である。また，bi，si，hi はそれぞれのプレミアムに対する感応度を表している。
推定ウィンドウにおいて式（ 3 ）に基づく重回帰分析を行い，得られた係数推定量を âi, b̂i, ŝi, ĥiとすると，t 時点における企業の ARi(t) は式（ 4 ）により計算される。
ARi(t)=Ri(t)-rf(t)-[âi+b̂ i [RM(t)-rf(t)]+ŝiSMB(t)+ĥiHML(t)]（4）

続いて，標準化された超過リターン（SAR; standardized abnormal return）は式（ 5 ）によって計算される。

SARi(t)=ARi(t)（5）

ここで， は推計期間における誤差項の標準偏差である。

企業 i の CARi(τ1, τ2) は，式（ 2 ）の ARi(t) をイベント・ウィンドウ (τ1, τ2) において合計したものであることから，式（ 6 ）によって計算される。
ô2

CARi(ô1, ô2)=s=ô1

ARi(s)（6）

また，企業 i の標準化された累積超過リターン（SCAR; standardized calculated abnormalreturn）は式（ 7 ）によって計算される。

SCARi(ô1, ô2)=

CARi(ô1, ô2)（7）

検定統計量 2 と θ による有意性検定
本研究では（以下に示す）検定統計量 J2 と θ を算出し，これらを用いて，CAR が統計的に有意か否かの検定を行う（Campbell, et al., 1997）。具体的には，検定統計量 J2 を用いて，帰無仮説

32

個人情報漏えい事件・被害に関するイベント・スタディ「イベントの株価への影響は無く，平均超過収益率はゼロである」を検定している。また，検定統計量 θ を用いて，各日のリターンが通常と異なると判断できるか検証することができる。これら 2 つの検定統計量の違いは θ が各日における異常値を検定するのに対して，J2 が累積値によって異常値を検定する点にある。
標準化された超過リターンの平均値（ASAR; average standardized abnormal return）と累積超過リターンの平均値（ASCAR; average standardized calculated abnormal return）はそれぞれN

ASAR(t)=1SARi(t)N j= 1NASCAR(ô1, ô2)=

1SCARk(ô1, ô2)
N k=1（8）（9）となる。ここで，N は対象企業数を表している。
検定統計量 J2 と θ は，以下の式によって計算される。

è=N(L-6)
ASAR(t)L-4（10）J2 =N(L-6)ASCAR(ô1, ô2)
L-4（11）

なお，L は推定ウィンドウの長さ（本研究では，244 日）を表している。
J2 と θ のいずれの検定統計量も漸近的に標準正規分布に従うことを利用して，有意性検定を行うことができる。
3.2

分析対象企業および分析期間

本研究では，サイバーセキュリティ.
com がまとめている「個人情報漏洩事件・被害事例一（3）覧」のうち 2015 年 1 月から 2019 年 12 月における個人情報漏洩事件・被害を取り上げて分析の対象とする。なお，この一覧から，事件発生日，発表日または報道日や責任を代表する事業者名，漏洩原因などを把握することができる。2015 年 1 月から 2019 年 12 月において 184 件の個人情報漏洩事件・被害がまとめられている。うち，2015 年が 9 件，2016 年が 19 件，2017 年が36 件，2018 年が 40 件，2019 年が 80 件と規模の大きな個人情報漏洩事件・被害の件数が年々増加傾向にあることがわかる。

個人情報漏えい事件・被害に関するイベント・スタディ

3.3

33

データセットおよび変数の定義

分 析 に 用 い る 株 式 デ ー タ な ど は 日 本 経 済 新 聞 社 が 提 供 す る『 日 経 NEEDS-Financial
QUEST2.0』ならびに，金融データソリューションズが提供する『日本上場株式 Fama-French関連データ』の「3 ファクターデータ（市場拡張版）」を利用する。このデータセットは，構成銘柄ユニバースとして，東証一部に東証二部に加え，新興市場銘柄を追加して計算した市場拡張版である。「3 ファクターデータ（市場拡張版）」を用いる理由としては，本研究で取り上げる企業の中には，東証二部や新興市場に上場している企業もあるためである。なお，各種プレミアムになどに関するデータの構築方法の詳細については，久保田・竹原（2016）や金融データソリューションズ（2016）を参照されたい。
「個人情報漏洩事件・被害一覧」には，上場していない企業に加えて，国家公務・地方公務や公益法人なども含まれている。イベント・スタディの対象企業は株式上場している必要があるため，これらの企業や組織はイベント・スタディの分析対象とならない。言い換えると，インシデント発生を開示した東証一部，東証二部，新興市場に上場している企業もしくは，これらに上場している企業の連結子会社が分析対象となる。また，事例によっては IT サプライチェーン上にある委託元，委託先や再委託先などの企業についての情報が公開されていることもあり，これらの企業についても同様に取り扱うことにする。なお，1 つの企業が短期間に複数のインシデント発生に直面することや情報を何度かに分けて公表することがある。その場合，最初に公表された日をイベント公表日とする。
これらの整理の結果，分析に用いることができる企業数は 69 社（件）となっている。業種別に見た内訳は表 2 の通りである。また，これらの計数は 1 つの事例においても複数の企業（委託元や委託先など）が関わっていることをことわっておく。なお，株価に欠損値がある場合はその企業を分析から除外している。
表2対象企業の業種

表 2 を見ると，情報・通信業に属する企業が最も多く，そして小売業，サービス業と続いていることがわかる。これらには，IT サプライチェーン上で発生したインシデントの事例もいくつか含まれている。これらの事件・被害の中には，メールアドレスや購買履歴などが流出したケースもあれば，クレジットカード情報やマイナンバーを含む個人情報が流出し，クレジットカード34

個人情報漏えい事件・被害に関するイベント・スタディの不正利用が発生しているケースもある。また，インシデント発覚から公表までの期間が短いものもあれば，かなりの時間を要しているものもある。さらに，ヒューマンエラーを原因とするものもあれば，サイバー攻撃を原因とするものも含まれている。
以下，これらの特徴を踏まえて，いくつかのグループに分けて，そのグループにおける個人情報漏えい事件・被害に対する株式市場の反応の特徴を明らかする。

4．分析結果4.1

全体

図 2 は AAR の推移，図 3 は（20 日前，5 日前，1 日前，イベント公表日からの）ACAR の推
移をそれぞれ示している（4）。図 2 を見ると AAR がゼロから乖離しているように見えるが，第 3.1

節で示した検定統計量 è の有意性を確認すると，イベント 20 日前，8 日前，6 日前，18 日後（4日間）の値のみが統計的に有意となり，これら以外の日の値は統計的に有意とはなっていない。

図2

AAR の推移（全体）

図3ACAR の推移（全体）個人情報漏えい事件・被害に関するイベント・スタディ

35

図 3 を見ると，イベント 20 日前からの ACAR の推移は公表日あたりまで正の値をとっている
ものの，それ以降は負の値をとっている。また，これ以外の ACAR の推移は概ね負の値をとっていることが確認できる。次に，設定したイベント・ウィンドウの ACAR とその検定統計量 J2をまとめたものが表 3 である。
表 3 を見ると，［－20, 1］，［－20, 5］，［－20, 10］，［－5, 20］，［0, 20］の J2 値は統計的に有意となっていないが，それ以外のものについてはいずれも統計的に有意な結果となっている。また，有意となったいずれの ACAR は負の値をとっている。このことから，インシデント発生に関するニュースリリースが公表されたことにより，1 週間前から少なくとも 2 週間後にかけて，企業の株価に負の影響を与える可能性があることが示唆される。

表34.2

分析結果（全体）

業種

図 4 には業種別に見た AAR の推移を示している。図 4 を見る限り，業種によって AAR の変化が異なるように思われる。これを統計学的に確認するために，検定統計量 è の有意性をチェックする。その結果，情報・通信業はイベント 12 日前，6 日前，公表日，1 日後，4 日後，20 日後（6 日間），小売業はイベント 1 日後，18 日後（2 日間），サービス業はイベント 11 日前，1 日前，公表日，7 日後，9 日後，11 日後（6 日間），金融業はイベント 14 日前，9 日前，8 日前，7 日後，15 日後（5 日間），陸運業はイベント 8 日後（1 日間），その他業種はイベント 4 日前，5 日後，7日後（3 日間）の値が統計的に有意となっている。なお，これ以外のものについては統計的に有意とはなっていない。このことから，AAR に関して統計的に有意な差が確認される日が数日しかなかったものの，業界別に見ると若干の違いがあることがうかがえる。
図 5 の（a）から（e）は業種別に見た ACAR の推移を示している。これらから情報・通信業とサービス業，小売業とその他業種はそれぞれ ACAR の推移に似た傾向があることが確認できる。
なお，サービス業よりも情報・通信業の方が ACAR の落ち込み度合いが大きいものとなっている。 一方で，金融業は他の業種のそれとは若干異なる傾向があることがわかる。

36

個人情報漏えい事件・被害に関するイベント・スタディ

図4

AAR の推移（業種）（a）情報・通信業（b）小売業

個人情報漏えい事件・被害に関するイベント・スタディ（c）サービス業（d）金融業（e）その他業種
図5

ACAR の推移（業種）

37

38

個人情報漏えい事件・被害に関するイベント・スタディ

表 4 は，業種ごとに設定したイベント・ウィンドウの ACAR とその検定統計量 J2 をまとめたものである。情報・通信業とサービス業，小売業は 3 つ，金融業は 9 つ，その他業種は 8 つのイ
ベント・ウィンドウが統計的に有意となっていないが，それ以外のものについては統計的に有意となっている。特徴的な点として，まず情報・通信業とサービス業はイベント 5 日前からのACAR は概ね負の値をとり続けている。次に，小売業とその他業種は有意となっている ACARはいずれも正の値をとっている。金融業はイベント 20 日前からの ACAR は 14 日あたりから負の値をとりはじめ，イベント公表日以降の ACAR はそれほど大きくはない非負の値をとるようになっていることが確認できる。このことから，インシデント発生に関するニュースリリースが公表されたことにより，業種によって企業の株価に与える影響が異なることがわかる。

表4分析結果（業種）個人情報漏えい事件・被害に関するイベント・スタディ

4.3

39

インシデント発覚から公表までの期間

個人情報漏えい事故・被害に関して，上述した通り，内部調査などが行われ，状況を整理して報告されることが多く，インシデントが発覚してから公表までに時間を要するケースが多い。ここでは，このインシデント発覚から公表までの期間の長さによって株価に与える影響が異なるか否かの検証を行う。
図 6 は，インシデント発覚から公表までの期間が 1 ヶ月未満のグループ（53 件）と 1 ヶ月以上のグループ（16 件）にサンプルを分けたそれぞれの AAR の推移を示している。図 6 を見てわかるように，前者の変動と比べると後者のそれは大きい。続いて，検定統計量 è の有意性をチェックした結果，インシデント発覚から公表までの期間が 1 ヶ月未満のグループはイベント
20 日前と 8 日前（2 日間），1 ヶ月以上のグループは公表日，イベント 1 日後，6 日後，13 日後（4 日間）の値が統計的に有意となっているが，これら以外のものについては統計的に有意とはなっていない。 このことから，AAR に関して統計的に有意な差が確認される日が数日しかなかったものの，両者の間に若干の相違があることを確認できる。

図6

AAR の推移（インシデント発覚から公表までの期間）

図 7 は，インシデント発覚から公表までの期間が 1 ヶ月未満の場合と 1 ヶ月以上の場合における ACAR の推移を示している。いずれの図も，インシデント公表日を期に ACAR の値は負となり，それがしばらく続いていることがわかる。両者の違いとしては，前者の ACAR の最小値が-2% 程度であるのに対して，後者のそれは -4.2% 程度となり，公表に時間を要している場合，その負の影響は大きいことが示唆される。
表 5 は設定したイベント・ウィンドウの ACAR とその検定統計量 J2 をインシデント発覚から公表までの期間別にまとめたものである。両者の有意性検定に関して大きな違いはないものの，
イベント 20 日前からの ACAR の値に関して前者は正の値をとっているのに対して，後者は負の40

個人情報漏えい事件・被害に関するイベント・スタディ（a）1 ヶ月未満（b）1 ヶ月以上
図7

ACAR の推移（インシデント発覚から公表までの期間）

表5分析結果（インシデント発覚から公表までの期間）

個人情報漏えい事件・被害に関するイベント・スタディ

41

値をとっており，インシデント発覚から公表までの期間の違いによって企業の株価に与える影響が異なることがこの結果からも示唆される。

4.4

個人情報漏えいの原因

個人情報漏えい事件・被害（69 件）のうち，ヒューマンエラー（PC や USB の紛失，メール誤送信，情報などの持ち出しなど）に起因するものは 16 件あった。そこで，ヒューマンエラーに起因するグループとそれ以外のグループ（53 件）にサンプルを分けたそれぞれの AR の推移を図 8 に示している。図 8 を見てわかるように，後者の変動と比べると前者のそれは大きい。

図8AAR の推移（個人情報漏えいの原因）

続いて，検定統計量 è の有意性をチェックした結果，個人情報漏えいの原因がヒューマンエ
ラーのグループはイベント 8 日前と 1 日後，7 日後，14 日後，17 日後（5 日間），個人情報漏えいの原因がヒューマンエラーでない（それ以外の）グループはイベント 7 日前と 6 日前（2 日間）の値が統計的に有意となっている。なお，これら以外のものについては統計的に有意とはなっていない。このことから，AAR に関して統計的に有意な差が確認される日が数日しかなかったものの，両者の間に若干の相違があることを確認できる。
図 9 は個人情報漏えいの原因別に見た ACAR の推移を示している。図 8 の（a）と（b）を比較すると，前者の方が後者よりも ACAR の落ち込み度合いが大きいものとなっていることが見てとれる。
表 6 は個人情報漏えいの原因別に設定したイベント・ウィンドウの ACAR とその検定統計量
J2 をまとめたものである。個人情報漏えいの原因がヒューマンエラーの場合，イベント・ウィンドウはいずれも統計的に有意となり，ACAR は全て負の値をとり続けている。一方で，個人情報漏えいの原因がヒューマンエラーでない場合，統計的に有意となっているものもあるものの，それらは負の ACAR だけではなく，正の ACAR となっているものがあることが確認できる。

42

個人情報漏えい事件・被害に関するイベント・スタディ（a）ヒューマンエラー（b）非ヒューマンエラー
図9

ACAR の推移（情報漏えいの原因）

表6

分析結果（情報漏えいの原因）

個人情報漏えい事件・被害に関するイベント・スタディ

43

5．おわりに
本研究では，2015 年から 5 年間に国内で発生した個人情報漏えい事故・被害の公開情報をもとに，このインシデントの発生に関する公表が企業の株価に与える影響を検証した。その結果，インシデントの発生に関する公表が株価の低下をもたらすことなどを明らかにした。また，業種別，インシデント発覚から公表までの期間別，個人情報漏えいの原因別に，分析を行ったところ，インシデントの発生に関する公表が株価に与える影響にもいくつかの特徴的な傾向があることを明らかにすることができた。
改正個人情報保護法により，これまで努力義務とされていた個人情報漏えいの報告・公表は2022 年春からは義務化される。今後ますます個人情報漏えいの事件・被害の報道や会見を目にすることが多くなると思われる。しかしながら，欧州の GDPR のような報告期限の規定はないため，いつ公表するかは企業が判断することとなる。様々なデータが得られることで本研究をさらに深めることが期待できる。
最後に，本研究の課題と今後の展望について述べる。本研究においてはサイバーセキュリティ.
com がまとめている「個人情報漏洩事件・被害事例一覧」から事例を取り上げており，マスメディアで全てが報道されるわけではない。そのため，投資家間に非対称情報があった可能性を排除できない。また，イベント・ウィンドウ内で公表された他のニュース（confounding
events）の影響を制御していない（5）。さらに，2019 年末からの新型コロナウイルス感染症（COVID-19）の世界的流行を受けて，ビジネス環境は大きく変貌を遂げた。このコロナ禍におけるこれらのインシデント被害等が企業の株価に与える影響についてはわかっていない。それは，個人情報漏えい事故・被害が発生し株価が低下してもそれが個人情報漏えい事故・被害によるものか，COVID-19 の影響によるものかを区別することが容易ではないためである。今後これらの点を踏まえたさらなる研究を行っていきたい。

《注》（ 1 ） 厳密に言えば，全国紙または主要な地方紙に記事として掲載されたケースを選択基準として，分析対象ならびにインシデント発生の公表日（報道日）を特定すべきである。これは，株式市場への影響という観点からは新聞などのマスメディアによって，インシデントが報道された時点を公表日とすることが望ましいと考えられるためである。
（ 2 ） 竹村他（2020）によれば，個人情報漏えいの原因が不正アクセスであった企業グループの CAR はイベント公表日から 20 日後まで（約 1 ヶ月にわたって）（継続的に）統計的に有意に負の値をとっている。
（ 3 ） サイバーセキュリティ .com「個人情報漏洩事件・被害事例一覧」2020 年（https://cybersecurityjp.com/）44

個人情報漏えい事件・被害に関するイベント・スタディ		 この一覧は，被害が 1 千件以上のものなどに限定されており，個人情報漏えい事件・被害を網羅的にまとめているわけではない。
（ 4 ） AAR および ACAR の推移は標準化する前の値でもってプロットしているので注意されたい。また，以下で出てくる図に関しても同様である。
（ 5 ） 同時期に，財務決算情報や商品サービス情報に関する報道がなされた場合，どちらが要因で株価が変動したかを特定することは簡単ではない。
参考文献
Adachi, Y., Takeda, F.,“Characteristics and Stock Prices of Firms Flamed on the Internet: The
Evidence from Japan,”Electronic Commerce Research and Applications, 17, 49-61, 2016
Campbell, J., Lo, A.W., MacKeinlay, A.C., The Econometrics of Finance, Princeton University Press,
1997
Cavusoglu, H., Mishra, B., Raghunathan, S.,“The Effect of Internet Security Breach Announcements on
Market Value: Capital Market Reactions for Breached Firms and Internet Security Developers,”
International Journal of Electronic Commerce, 9（1）,69-104, 2004
Fama, E.F., French, K.R.,“Common Risk Factors in the Returns on Stocks and Bonds,”Journal ofFinancial Economics, 33（1）,3-56, 1993
Fama, E.F., French, K.R.,“A Five-Factor Asset Pricing Model,”Journal of Financial Economics, 116,
1-22, 2015
Malliouris, D.D., Simpson, A.C.,“The Stock Market Impact of Information Security Investments: The
Case of Security Standards,”Workshop on Economics of Information Security（WEIS2019）,2019
金融データソリューションズ「日本上場株式 FF 関連データ：FF3 ファクター市場拡張版モデル」，2016年（https://fdsol.co.jp/doc/ FF3 ファクターデータ _ 市場拡張版.pdf）
久保田敬一・竹原均「Fama-French ファクターモデルの有効性の再検証」，現代ファイナンス，22, 3-23,
2007 年
情報処理推進機構「IT サプライチェーンの業務委託におけるセキュリティインシデント及びマネジメントに関する調査報告書」，2018 年（https://www.ipa.go.jp/files/000065162.pdf）
竹村敏彦・小山明美・小川隆一「IT サプライチェーン上のセキュリティインシデントが企業価値に与えるインパクト～イベントスタディによる検証～」，SCIS2020 予稿集，2D3-3, 2020 年
竹村敏彦・小山明美・小川隆一「コロナ禍におけるセキュリティ・インシデント被害等に対する株価の反応に関する分析」，SCIS2022 予稿集，2D3-3, 2022 年
田中秀幸・中野邦彦「サイバー・セキュリティ・インシデントが企業価値に与える影響」，東京大学大学
院情報学環紀要（情報学研究），91, 1-11, 2016 年
東京商工リサーチ「上場企業の個人情報漏えい・紛失事故」調査」，2020 年（https://www.tsr-net.co.jp/news/analysis/20200123_01.html）
廣松毅「情報セキュリティ事故が企業価値に与える影響の分析～イベント・スタディ法を用いたリスク評価の試み」，情報セキュリティ総合科学，3, 91-106, 2011 年