サイバー・セキュリティ・インシデントが企業価値に与える影響
The Impact of Cyber Security Incidents on Firm Value

田中秀幸*、中野邦彦+
Hideyuki Tanaka and Kunihiko Nakano

1．はじめにサイバー空間は欠くことのできない経済社会

デントを指す）が企業価値に与える影響を定量活動の基盤となる一方で、企業などへのサイ的に実証分析することを目的とする。後述する

バー攻撃は一層複雑・巧妙化して、攻撃事例もように、2000年代半ばまでの事例を対象とした

増 え て い る（ サ イ バ ー セ キ ュ リ テ ィ 戦 略 本

先行研究によれば、同インシデントの公表は企部,2016）。こうした状況の中、サイバー・セキュ業価値にネガティブな影響を及ぼすことが確認

リティ対策は、政府のみならず企業など民間部されている。2010年代半ばの現時点で、どのよ門においても取り組むことの重要性が増していうなインシデントがいかに企業価値に影響を及る。民間企業の取り組みに関しては、「サイバーぼすのかを本研究では明らかにする。

セキュリティ経営ガイドラインVer1.0」（経済以下、本論文は次のとおりに構成される。第産業省・情報処理推進機構,2015）がまとめら2章では、関連する先行研究を整理するとともれているところであるが、「企業価値の向上にに、本研究の位置付けを示す。第3章では、本つながるための仕組み等について,更なる検討論文の研究手法であるイベント・スタディを概が必要である」（サイバーセキュリティ戦略本観し、第4章で本研究の分析対象を説明する。

部,2016, p.33）との指摘がなされている。

第5章では、分析結果を2段階に分けて示し、第このように、サイバー・セキュリティ対策の6章でそれらの結果を踏まえた考察を加える。

中で、企業価値の重要性が着目される中、本研第7章では、まとめとして本研究の結論と今後究では、セキュリティ・インシデント（本研究の研究課題などについて述べる。

では、サイバー環境でのセキュリティ・インシ

* 東京大学大学院情報学環教授+
東京大学大学院情報学環客員研究員, 島根大学地域未来戦略センター助教
キーワード：サイバー・セキュリティ、セキュリティ・インシデント、企業価値、イベント・スタディ

12．関連する先行研究と本研究の位置付け
セキュリティ・インシデントが企業価値に与える影響については各種の研究が行われているタ デ ィ の 手 法 を 用 い た も の を 表1で 示 し て いる。

が、その中でも、本研究と同じくイベント・ス

表１：関連する先行研究の整理
論文

概要

対象年

PN

Campbell et al.
(2003)

秘密情報の漏洩の場合には株価が下落する一方,秘密情報に関わらないSIの場合には株価の影響は確認されず.

1997-2000

Cavusoglu et al.
(2004)

SIの発表で,該当企業の株価が2.1%下落.他方,セキュリティ開発企業では,1.36%株価が上昇.

1996-2001

Acquisti et al.
(2006)

個人情報漏洩の発表当日に,株価に負の影響.

2000-2006

xIshiguro et al.
(2006)

日本企業を対象にした場合,SIの株価への影響のタイミングは欧米に比して遅い等を検証.

2002-2005

x

Tellan & Wattal(2007)

脆弱性の発表がソフトウェア・ヴェンダーの市場価値に負の影響を与えるなどを検証.

1999-2004

x

Kannan et al.
(2007)

SIの発表の直後ではなく,1週間の長期にわたって株価に与える影響をみると統計的有意にnegativeな結果を確認されなかった.

1997-2003

x

Goel & Shawky(2009)

SI発表近辺での1%程度株価が下落することを検証.

2004-2008

x

Muntermann &Robnagel (2009)

個人情報漏洩の発表は,株価下落に繋がるものの,他のSIと比較して,その影響は小さい.

2001-2007

x

Chai et al. (2011)

セキュリティ投資の発表が,株価上昇につながることを検証.

1997-2006

Gordon et al.
(2011)

秘密性,可用性,完全性の態様に分けてSIの影響を分析.また,2001年の911テロ事件以降に影響がより大きいと検証.

1995-2007

x

Bose et al. (2011)

RFIDの導入が企業の市場価値に負の影響をもたらすことを検証.

1997-2009x

廣松 (2011)

日本企業を対象に一定規模以上の個人情報漏洩事故の株価へのネガティブな影響を検証.

2006-2009x

Bose & Leung(2013)

SI対策導入の公表が株価に正の影響をもたらすこと,特に,初期導入者に大きな効果を検証.

1995-2012xxxxx（註）P欄はポジティブな影響,N欄はネガティブな影響を対象に検証する研究であることを示す.概要欄のSIはセキュリティ・インシデントの略.

2

東京大学大学院情報学環紀要

情報学研究

№91

同表にあるとおり、関連する先行研究は2000証する意義がある。

年代前半から近年に至るまでいくつもの研究のまた、セキュリティ・インシデントの企業価積み重ねがある。概ね、セキュリティ・インシ

値へのインパクトに関する実証研究は欧米の事

デントの公表が株価に対して負の影響を及ぼす例を対象としたものが多く、日本の事例を対象ものを検証する研究が多いが、必ずしも結果はと し た も の は 限 ら れ て い る。Ishiguro et al.

一様ではない。また、研究対象のインシデント（2006）が示すとおり、日本市場の特徴を反映発生時期が2000年代までとなっているものがした影響もあり得るところであり、日本の事例多く、2010年代に入って以降の最近のインシデを対象とした分析の充実が望まれる。

ントを対象にした研究は限られている。クラウ以上の先行研究の状況を踏まえ、本研究では、ド・コンピューティングの普及など、サイバー・時間的には、2010年代半ばの比較的最近の事例

セキュリティを巡る環境は、2010年代に入ってを対象にし、また、地理的には日本の事例を対からも大きく変化しており、セキュリティ・イ象にする。このような研究を行うことで、関連ンシデントの企業価値への影響が最近も過去とする研究の充実に貢献することを目指す。

同様の傾向にあるかどうかは定かではなく、検3．研究手法：イベント・スタディ
本研究では、イベント・スタディを研究手法

トの公表時）、株価がどのように変化するかにとして用いる。イベント・スタディとは、簡潔ついて、TOPIXなどの指標と対象企業の株価かつ直感的に説明すれば、何らかのイベントがの関係を推計し、イベント発生後の乖離の有無発生した際に（例：セキュリティ・インシデンを検証するものである（図1）。

株価

指 標 (TOPIX)対 象 企業?
エ ス ティ メ ー シ ョ ン ・ ウ ィ ンド ウ

イ ベ ント 発 生
イ ベ ント ・ ウ ィ ン ド ウ

図1.

イベント・スタディの概要

サイバー・セキュリティ・インシデントが企業価値に与える影響

3具体的な適用方法は、次のとおりである（廣同様に指標を用いて（2）に準じて求める。

松（2011）の2.2.2節を参照）。まず、指標と対次に、イベントが発生して以降の期間をイベ

象企業の関係を推計する期間をエスティメー

ント・ウィンドウとして、（1）式で求めたパラション・ウィンドウとして設定する。イベント

メーターα及びβを用いて、（3）式により分析前250営業日を推定期間として（1）式で回帰し対象企業ごとのAR（Abnormal return）を算て、パラメーターα及びβを求める。

出する。

Rit= αi＋βRmt＋εit（1）ARit=Ritーα－βRmt（3）

ここで、第t日における企業iの株式収益率をイ ベ ン ト 発 生 後 一 定 期 間 のARを 累 積 し た

Rit、第t日における市場ポートフォリオの収益CAR（Cumulative Abnormal Return）を標準率をRmtとする。企業iの株式収益率は（2）式化した値（SCAR）を対象に、統計的検定を行で求める.

う。ただし、この検定に当たっては、イベント・

Rit=（Pit-Pit-1）/Pit-1（2）ウィンドウの重なりがないように調整すること

Pitは,企業iのt時点の株価終値を示す。Rmtもが原則となる。

4．分析対象本 研 究 で は、 一 般 社 団 法 人 JPCERT コ ー

外れ値等を示した5事例の合計23事例を80事例

ディネーションセンター（JPCERT/CC）の調から除外した。これらの除外に関して、1）と2）

査 結 果 と し て 公 表 さ れ て い る2013年3月 か らについてはイベント・スタディのパラメーター

2015年8月までのセキュリティ・インシデント

推計に支障があること、3）については銀行の230事例を出発点としている。230事例には、自場合の企業価値の扱いが一般の事業会社と異な治体や非上場企業も含まれていたために、株価り得ること、4）については外れ値による影響分析の対象となり得る上場企業分80事例を抽除去が必要なことによる。

出した。
さらに、1）インシデント発生後の上場企業、
2）上場廃止企業、3）銀行及び4）ARデータの以上の結果、分析対象企業は57事例となった。なお、子会社の場合には上場している親会社の株価を対象としている。

5．分析結果5．1

全57事例

第4章で選定した全57事例を対象に最初の分された年月日のいずれか早い方の時点をイベン析を行った。ここでは、ウェブサイト等で自社ト発生時とした。新聞記事については、株式市が発表した年月日、又は、新聞記事として掲載場への影響を考慮して、日本経済新聞社の朝夕

4東京大学大学院情報学環紀要

情報学研究№91

刊及び日経産業新聞を基本とし、加えて、読売ちらの期間もSCARは統計的に見て有意な値で新聞と毎日新聞に記事が掲載された場合も対象はなかった。すなわち、セキュリティ・インシとした。

デントの発表というイベントに対して株価が反全57事例を対象とした分析結果は、表2に示応 し た こ と は 確 認 で き な か っ た。 セ キ ュ リ

すとおりとなった。ここで、t0-t1はイベント発ティ・インシデントが単に公表されただけで生当日からその翌日までの2日間、t0-t3はイベは、株価は反応しないことを示唆する結果であント発生当日から3日後までの期間を指す。どる。

表２：全57事例を対象とした分析結果

5．2

期間

t0-t1

t0-t3

SCAR

0.015

-0.114

検定統計量J0.116-0.858

新聞報道24事例

全57事例ではSCARの値が統計的に有意では業でセキュリティ・インシデントが発生し、そなかったことを踏まえて、57事例のうち新聞記れらが報道されていることがわかる。また、こ事として掲載されている24事例を対象に分析の分析では、イベント発生時点は新聞記事掲載した。24事例は表3に示す企業から構成されて時としている。なお、自社発表の方が記事よりいる。情報通信産業に限らず、多様な業種の企先の事例は13事例であった。

表３：新聞報道24事例の企業
業種

企業名

情報通信

CyberAgent、DeNA、Nintendo、NTT、SoftBank、Yahoo!、スタイライフ、ディノス、
ニフティ

輸送機械

トヨタ自動車、日産自動車

機械/電気機器

Panasonic、SONY

運輸サービス

ANA、JAL、JR東日本

小売

Nissen、エイチ・ツー・オー・リテイリング、セブン＆アイ

教育

ベネッセコーポレーション

註：一つの企業で複数事例の例が含まれている.

24事 例 の 分 析 結 果 は 表4に 示 す と お り で あれた場合には、当該インシデントが株価を引きり、SCARは統計的に有意に負の値となった。

下げる可能性があることが示唆される結果で新聞報道でセキュリティ・インシデントが扱わあった。

サイバー・セキュリティ・インシデントが企業価値に与える影響5表４：新聞報道24事例を対象とした分析結果
期間t0-t1

t0-t3

SCAR

-0.457**-0.532***

検定統計量J-2.230-2.595(註) ***:p値<.01, **:p値<.05

6．考察
第5章の結果を踏まえて、全57事例の場合と能性である。新聞報道24事例は、残りの33事例

新聞報道24事例の場合の結果の差異を中心にに比して企業価値に影響を及ぼす可能性の高い考察を加える。全57事例の結果からは、セキュインシデントであれば、株価への影響が大きいリティ・インシデントが発生しそれを公表したということも考えられる。第2の要因として考だけでは、株式市場は必ずしもネガティブに評えられるのは、企業自らがウェブサイトなどで価するとは限らないことが示唆される。これに公表するよりも、新聞報道によって影響力が増対して、新聞報道された場合にSCARが統計的す可能性である。セキュリティ・インシデントに有意となることについては、いくつかの要因が企業収益に及ぼす影響の程度とは別に、報道が想定されるが、ここでは2つの要因を取り上による影響が強くなっていることも想定されげる。第1の要因は、新聞報道がセキュリティ・る。

インシデントの影響の大きさを反映している可表５：13事例のSCAR(t0-t3)の発表時点比較
事例（会社名）

自社発表時(A)

新聞掲載時(B)A>B

ベネッセコーポレーション

-6.49

-6.47

トヨタ自動車

0.58

-1.95

x

Yahoo!

-1.05

-1.66

x

エイチ・ツー・オー リテイリング

-1.00

-1.33

x

日産自動車

-0.34

-1.16

x

SoftBank

-0.65

-0.65

Panasonic

0.09

-0.33

DeNA

0.56

0.56

x

ニフティ

1.10

0.61

x

Nintendo

1.25

0.72

x

Ameba

0.05

0.88

Nissen

3.85

0.94

ディノス

1.11

3.01東京大学大学院情報学環紀要

情報学研究6x№91

第1の要因に関して、セキュリティ・インシよりも前に自社公表している13事例を対象に、デントの大きさと株価への影響との関係を検討

イベント発生時を自社公表時と新聞記事掲載時するために、攻撃手法、漏洩件数などを付表1に分けて、SCAR（t0,t3）を比較した。その結に示すとおりにまとめた。この表にあるとお果は表5に示すとおりとなり、13事例のうち3分り、漏洩件数が少なくても株価に負の大きな影の2近い8事例では、新聞掲載時のSCAR（t0,t3）

響を示すものもあれば、漏洩件数が数万件と多の方が値が小さくなっている（負の度合が大きくても株価への負の影響がないものもある。こくなっている）。同一事例でも、企業のウェブの表でみる限り、セキュリティ・インシデント

サイトでの公表時よりも新聞報道時の方が株価の大きさが必ずしも株価への影響の程度と関係に対するネガティブな影響が大きい可能性があしているとは言いがたい。

る。この差異は、新聞報道で広く社会に知らし

また、第2の要因について、さらに考察するために、新聞報道24事例のうち新聞記事掲載時められることの株価への影響の大きさを示唆するものである。

7．まとめ
本 研 究 で は、2013年 か ら2015年 と い う 比 較の大きさによって、株価への影響の程度を予想的最近の日本におけるセキュリティ・インシデすることは難しいことを考察した。第2に、同ントが企業価値に及ぼす影響を実証的に分析し一のインシデントであっても、企業による自主た。その結果、同インシデントの公表は必ずし的な公表よりも新聞記事の方が株価への影響がも企業価値に影響を与えるものとは言いがたい大きい可能性があることを考察した。しかし、が、新聞報道された事例については、その報道これらの考察は、必ずしも統計的な検証を経たによって株価が統計的に有意に下がることが示ものではなく、今後、更なる検討が必要である。

唆された。今回の分析結果は、最近の日本にお本研究は、上述のとおり、2000年代以降に進いても、一定の場合には、セキュリティ・インめられている、セキュリティ・インシデントとシデントが企業価値に影響を及ぼす可能性を支

企業価値の関係に関する研究の充実に一定の貢持するものであり、先行研究の結果と整合的な献をした。しかしながら、前項で言及したようものであった。に、インシデントと企業価値の関係について

また、本研究では、セキュリティ・インシデは、インシデントの態様や公表方法などを踏まントと株価の関係について、さらに詳しい考察えて更なる検討が必要である。これらは、今後を行った。具体的には、第1に、漏洩件数などの研究課題として取り組む必要がある。

で評価したセキュリティ・インシデントの程度

サイバー・セキュリティ・インシデントが企業価値に与える影響7謝辞
本研究は、東京大学大学院情報学環セキュア情報化社会研究寄附講座の支援を受けて行われたものである。ここに記して感謝申し上げます。

参考文献
Acquisti, Alessandro, Allan Friedman, and Rahul Telang （2006）, "Is there a Cost to Privacy Breaches? An Event Study," ICIS 2006
Proceedings. Paper 94, pp.1563-1580.
Bose, Indranil, Alvin Chung Man Leung （2013）, " The impact of adoption of identity theft countermeasures on firm value," Decision
Support Systems, vol.55, pp.753-763.
Bose, Indranil, Ariel K. H. Lui, and Eric W. T. Ngai （2011）, " The Impact of RFID Adoption on the Market Value of Firms: An
Empirical Analysis," Journal of Organizational Computing and Electronic Commerce, vol.21, pp.268-294.
Campbell, Katherine, Lawrence A. Gordon, Martin P. Loeb and Lei Zhou （2003）, " The economic cost of publicly announced
information security breaches: empirical evidence from the stock market," Journal of Computer Security, vol.11, pp.431-448.
Cavusoglu, Huseyin, Birendra Mishra, and Srinivasan Raghunathan （2004）, " The Effect of Internet Security BreachAnnouncements on Market Value: Capital Market Reactions for Breached Firms and Internet Security Developers," International
Journal of Electronic Commerce, vol.9, no.1, pp.69-104.
Chai, Sangmi, Minkyun Kim, H. Raghav Rao （2011）, "Firms' information security investment decisions: Stock market evidence ofinvestors' behavior," Decision Support System, vol.50, pp.651-661.
Goel, Sanjay and Hany A. Shawky （2009）, " Estimating the market impact of security breach announcements on firm values,"Information & Management, vo.46, pp.404-410.
Ishiguro, Masaki, Hideyuki Tanaka, Kanta Matsuura, Ichiro Murase （2006）, " The Effect of Information Security Incidents on
Corporate Values in the Japanese Stock Market," The Workshop on the Economics of Securing the Information Infrastructure,
Washington D.C., The JW Marriott Hotel Pennsylvania Avenue, October 23-24th, at http://wesii.econinfosec.org/workshop/.
Kannan , Karthik, Jackie Rees and Sanjay Sridhar （2007）, " Market Reactions to Information Security Breach Announcements: An
Empirical Analysis," International Journal of Electronic Commerce, vol.12, no.1, pp.69-91.
Telang, Rahul and Sunil Wattal （2007）, " An Empirical Analysis of the Impact of Software Vulnerability Announcements on Firm
Stock Price," IEEE TRANSACTIONS ON SOFTWARE ENGINEERING, vol.33, no.8, pp.544-557.
経済産業省・独立行政法人情報処理推進機構 （2015）, 『サイバーセキュリティ経営ガイドライン Ver 1.0 』, at http://www.meti.
go.jp/press/2015/12/20151228002/20151228002-2.pdf, accessed on July 19th, 2016.
サイバーセキュリティ戦略本部 （2016）, 『サイバーセキュリティ政策に係る年次報告（2015年度）』, at http://www.nisc.go.jp/active/kihon/pdf/jseval_2015.pdf, accessed on July 19th, 2016.
廣松毅 （2011）, 「情報セキュリティ事故が企業価値に与える影響の分析: イベント・スタディ法を用いたリスク評価の試み」,『情報セキュリティ総合科学』, no.3, pp.91-106.

8東京大学大学院情報学環紀要

情報学研究№91

付表１：新聞報道25事例の詳細
通番

SCAR(0,3)

攻撃手法

漏洩件数

1

ベネッセ

会社名-6.47

d760万

2014年7月 大規模漏洩

2

スタイライフ

-4.3

a2.4万

2013年9月 クレジットカード情報漏洩

3

JR東日本

4

トヨタ自動車

発生月

コメント

-3

a97

2013年3月 自ら調査して発表

-1.95

b-

2013年6月 1週間以上気付かず

5Yahoo!

-1.66

b2200万

6

JAL

-1.63

a60

2014年2月 マイレージポイント不正交換

2013年5月 短期間に繰り返し発生

7H2O-1.33

a2千

2013年5月

8

日産自動車

-1.16

e-

クレジットカード番号と有効期限も一部含まれる

2014年8月 発見まで２ヶ月

9

CyberAgent

-0.99

a3.8万

2014年6月 不正ログイン４日間

10

ソニーマーケ

-0.81

a273

2014年4月 ソニーポイントの交換

11

SoftBank-0.65

a724

2014年4月 15日間リスト型攻撃12

NTT-0.62

a1千

2013年10月 会員サイト不正ログイン

13

セブン＆アイ

-0.38

a-

14

Panasonic

-0.33

a7.8万

2014年3月 不正ログイン１ヶ月継続

15

DeNA0.56

a316

2013年10月 不正ログイン4日間

16

ニフティ

0.61

a2.1万

17

Nintendo

0.72

a2.4万

2013年10月

３ヶ月不正ログイン継続,
クレジットカード情報

不正ログイン3日間,クレジットカードはマスキング
一ヶ月弱不正ログイン,ポイント
2013年6月
被害なし,クレジット情報無し
2013年7月18

CyberAgent

0.88

a-19

nissen0.94a126

2013年6月 6時間不正ログイン

2013年8月 ４ヶ月弱不正ログイン

20

JR東日本

1.14

a756

2014年8月 Suicaポイントクラブ

21

ANA

1.45

c4

2014年3月

マイルが盗まれiTunesカードに交換

22

JAL

1.55

f4千

2014年9月 一部機器が外部と通信

23

JR東日本

1.67

a1.9万

2014年3月 Suicaポイントクラブ

24

ディノス

3.01

a1.5万

2013年5月

註：攻撃手法欄の記号
a：パスワードリスト攻撃, b：不正アクセス, c：不正ログイン, d：内部犯行, e：Webサイト改ざん, f：標的型攻撃サイバー・セキュリティ・インシデントが企業価値に与える影響

9田中秀幸（たなか・ひでゆき）［生年月］1963 年［出身大学または最終学歴］東京大学 , Fletcher School of Law and Diplomacy［専攻領域］ネットワーク経済論、情報経済論［主たる著書・論文（3 本まで、タイトル・発行誌名あるいは発行機関名）］
Tanaka, Hideyuki and Soichiro Takagi（2016）,“Open Data as an Infrastructure: Impact of Availability ofGovernment Data as Open Data on the Japanese Economy,”Public Policy Review, vol.12, no.1, pp.23-46.
Jenjarnissakul,Bongkot, Hideyuki Tanaka, and Kanta Matsuura（2013）, "Sectoral and Regional Interdependency
of Japanese Firms Under the Influence of Information Security Risks," in R. Bohme（ed.）. The Economics ofInformation Security and Privacy, pp.115-134.
Tanaka, Hideyuki, Kanta Matsuura, and Osamu Sudoh（2005）,“Vulnerability and information security
investment: An empirical analysis of e-local government in Japan,”Journal of Accounting and Public Policy,
vol. 24, no.1, pp. 37-59.
［所属］東京大学大学院情報学環［所属学会］社会情報学会、社会・経済システム学会、日本経済政策学会など

中野邦彦（なかの・くにひこ）［生年月］1983 年 4 月 30 日
［出身大学または最終学歴］東京大学大学院学際情報学府博士課程修了 （博士：社会情報学）［専攻領域］社会情報学［主たる著書・論文（3 本まで、タイトル・発行誌名あるいは発行機関名）］
・
「How Japanese Newspapers Contribute to Community Engagement」,『Journal of Socio-Informatics』,Vol.7,
No.1 Nov. 2014, pp:13-24.
・「地域 SNS への地方自治体職員の関与実態に関する考察」,『社会情報学』, vol.2, no.3,pp.1-14, 2014.
・「地域 SNS の利用実態に関する研究」,『社会・経済システム』, no.34, pp.43-50, 2013.
［所属］島根大学地域未来戦略センター［所属学会］社会情報学会、社会経済システム学会、地域デザイン学会

10

東京大学大学院情報学環紀要

情報学研究

№91

The Impact of Cyber Security Incidents onFirm Value
Hideyuki Tanaka* and Kunihiko Nakano+This paper aims to empirically assess the impact of cyber security incidents on firm value
based on recent Japanese data. The results suggest that articles in the newspapers, not but
voluntary disclosure, of the incidents might affect the firms' stock values. Moreover, the authors
discuss the implication of the result shedding light on incident magnitude and comparison of theimpact between voluntary disclosure and newspaper articles.

* Professor, Interfaculty Initiative in Information Studies, the University of Tokyo+Guest Researcher, Interfaculty Initiative in Information Studies, the University of Tokyo and Assistant Profesoor, Shimane University
Key Words：cyber security, security incident, firm value, event study
サイバー・セキュリティ・インシデントが企業価値に与える影響

11