廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価

個人情報保護法による情報セキュリティ意識の変化に関する定量的評価-イベント・スタディ法を用いた意識変化の定量分析の試み-

廣松 毅1

概 要
2005 年の個人情報保護法の全面施行後、すでに 7 年が経過した。この間、個人情報の取り扱いに関しては企業以外に一般の消費者の間にも、個人情報の保護に関する意識が高まった。このような意識の変化は、個人情報流出等のセキュリティ事故に対する評価、対応にも影響を与えていると思われる。さらに、個人情報保護法が施行された 2005 年前以降、個人情報保護の問題そのものへの関心が高まり、このような関心の高まりはさらには、情報システムの安全性に対する意識にも影響を及ぼしていると想定される。
このような観点から、本稿では個人情報保護法の施行が、個人情報の保護や情報システムの安全性に対する意識の変化に及ぼしたインパクトを定量的に評価することを試みる。評価に際しては、株価の変化を個人情報の流出やシステムの障害に対する負の評価の代理指標とする。すなわち、証券市場をフィルターとして用いることによって、情報せセキュリティ意識の変化を定量的に分析することを試みる。本稿
では定量的な評価を行うために、個人情報の流出事故が株価に及ぼした負の影響をイベント・スタディの方法を用いて計測し、個人情報保護法施行以前と施行以降の間の相違を、規模別・業種別の観点から分析を行う。
この分析の結果は、法制度による情報セキュリティ意識の変化を、アンケートといった直接的な方法ではなくて、証券市場というフィルターを介して間接的に評価、分析しようとする試みの一つである。

1 情報セキュリティ研究科

教授

情報セキュリティ総合科学第4号

2012 年 11 月
150

廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価

1. はじめに「個人情報の保護に関する法律」（以下、個人情報保護法と略）は 2005 年 4 月 1 日に全面施行され、施行後すでに 7 年以上が経過した。個人情報保護法の施行以前においても、
1980 年に OECD から出された「プライバシー保護と個人データの国際流通についてのガイドラインに関する OECD 理事会勧告」をはじめとして、1997 年には経済産業省から民間企業向けに「民間部門における電子計算機処理に係る個人情報の保護に関するガイドラ
イン」が公開されていた。さらに、1999 年には JIS1500（個人情報保護に関するコンプライア
ンス・プログラムの要求事項）が制定され、プライバシーマークを取得する企業が相次いだ。
このように、企業においては個人情報保護法の施行以前から個人情報の保護、管理は大きな課題となっており、セキュリティ意識の高い企業ではその取扱いには厳重な注意が払われてきた。しかしながら、個人情報保護法の施行以降は、企業以外に一般の消費者の間にも、個人情報の保護に関する意識が高まってきた。また、企業においても、個人情報保護法施行以降は外部からの脅威に対する技術的対策だけではなくて、内部からの情報漏えいに対する管理、監視のために、内部管理体制の強化にも注意が払われるようにな
ってきた。

100%

5.6%

12.3%

19.6%

80%

21.3%
60%

40.6%

38.3%
40%
20%

32.9%

24.0%
0%
2003年

2007年

関心がある
ほとんど（全く）関心がない

まあ関心がある
どちらとも言えない

あまり関心がない
わからない

内閣府「個人情報保護に関する世論調査」(平成15年、平成19年から作成

図表 1 は内閣府が行った個人情報保護に関する世論調査の結果を示している。これから、個人情報保護法が施行された 2005 年の前後では、個人情報保護問題への関心が高まっていることがわかる。このような関心の高まりは、情報セキュリティ意識を変化させ、個
人情報流出等のセキュリティ事故に対する評価、対応にも影響を与えているものと思われ
情報セキュリティ総合科学第4号

2012 年 11 月
151

廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価

る。このような観点から、本稿では個人情報保護法の施行が、個人情報の保護や情報シス
テムの安全性の確保など情報セキュリティ意識の変化に及ぼしたインパクトを定量的に評価することを試みる。評価に際しては、株価の変化を個人情報の流出に対する負の評価の代理指標とする。すなわち、証券市場をフィルターとして個人情報保護法の施行が及ぼした意識の変化をイベント・スタディにより定量的に評価、分析することを試みる。
個人情報の流出事故は毎年、数多く報告されているが、本稿では個人情報保護法施行の 2005 年の前後の 2001 年から 2010 年までの 10 年間の事故事例の中から流出件数
が一定規模以上の事例を抽出し、これらを対象に情報漏洩事故が株価に与える影響を分析する。分析に際しては、個人情報保護法が施行される以前の 2001 年から 2004 年までの間と、施行以降の 2005 年から 2010 年の間の相違を分析するとともに規模別、業種別の相違に関しても分析を試みる。

2. 先行研究と本研究の目的
本稿では個人情報流出事故の新聞報道日（正確には新聞報道の直近の営業日）をイ
ベント日として、イベント・スタディの方法により個人情報の流出事故が株価に及ぼす影響を評価する。すなわち、流出事故が新聞記事となり、その内容が投資家の投資行動に影響を及ぼし、結果として株価の変動につながるという仮定を置く。このように新聞記事の内容と株価変動の関連を分析した研究としては、新聞記事を一つのテキストとみなし、テキス
トマイニングの手法を用いて記事の解析を行い、その解析結果と株価の関係を分析する研究が主に人工知能の分野の研究者により行われてきた（張、松原（2008）、本田、和泉et al(2009)）。それらの研究はテキストマイニングによって得られた新聞記事の解析結果と株価の関係を統計的手法によりモデル化し、そのモデルを用いて新聞記事に基づく株価の予測可能性を論じている。本稿と同じく日次の株価データを用いたそれらの研究によれ
ば、新聞記事と新聞記事報道日翌日の株価との間には一定の相関がみられる、という結果が得られている。すなわち、新聞記事と報道日翌日の株価変動との相関に関して、記事の内容により株価に上昇、下降の両面で影響が現れることが指摘されている。しかしながら、それらの研究からは新聞記事が投資家を介して一時的な影響を株価に及ぼすことは明らかになったものの、その影響がどの程度継続するのかという点は不明である。また、株価に正あるいは負の影響が与えたとしても、そのニュースの内容と株価に及ぼす正あるいは負の影響を定量的に評価することは困難である。
一方、個人情報の管理は企業にとっては情報セキュリティ対策に属しており、このような企業の情報セキュリティに関する経済・経営学的研究分野は大きくは、①情報セキュリティ
投資と企業価値（高藪 et al(2010)）、②情報セキュリティとガバナンス（廣松 et al（2011））、③情報セキュリティ事故が企業価値に与える影響の 3 つの分野に大別される。このうち③
情報セキュリティ総合科学第4号

2012 年 11 月
152

廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価に関する定量的な研究として個人情報漏えい事故を対象とし、イベント・スタディを用いて事故が株価に及ぼす影響を分析した研究が行われてきた。具体的に、河路(2006)は、1997 年から 2004 年の間に発生した 125 件の個人情報漏えい事故を対象に、イベント・ス
タディにより株価への影響に関して、漏えい規模別、漏えい内容別、発生時期別に分析を行っている。また、廣松(2011)は、2006 年から 2008 年の間に発生した個人情報漏えい事故を対象に、同じくイベント・スタディを用いて、個人情報の漏えい事故が企業価値に及ぼす影響を、漏えい規模別や業種別に分析している。双方の分析において、個人情報漏えい事故のアナウンスは株価に有意に負の影響を及ぼしているという結果となっている。しかしながら、個人情報保護法の影響という観点からは、期間的に前者は法律の施行以前、また後者は施行以降のみの期間を対象にした分析である。また、前者の分析ではイベント・
ウィンドウが事故のアナウンスの前後 1 日の 3 日間のみであり、分析結果だけからでは事故の継続的な影響を把握できない。したがって、両者の分析結果からは個人情報保護法の施行の挟んだ時系列的な影響を評価、分析することは困難である。
そこで本稿では、個人情報の流出事故が新聞によりアナウンスされることにより、その影響の一端が投資家の投資行動を介して株価に反映されるという仮定の下に、個人情報保護法の施行を含んだ前後の期間を対象とし、事故のアナウンスが株価に及ぼす継続的な影響を分析することにより、個人情報保護法施行による情報セキュリティ意識の変化を定量的に評価、分析することを試みる。

3. 分析の方法
3.1 分析データ
分析は個人情報保護法が施行された前後の 2001 年から 2010 年までの間に発生した
個人情報の流出事故を対象とした。対象事例は全国紙（日本経済新聞、朝日新聞、読売
新聞、毎日新聞、産経新聞）の記事から”個人情報”,”顧客情報”、”漏えい”、”流出”、”盗難”の各文字列に関して（（個人情報 or 顧客情報） and （漏えい or 流出 or 盗難））の組
み合わせで記事を検索し、検索結果から個人情報、顧客情報が明らかに外部に流出、あるいは流出した可能性が高く、かつ流出件数が 10 件以上の事例を対象とした。ただし、大手通信事業者 3 社（NTT、KDDI、ソフトバンク）に関しては他の業種と比較して流出事故が突出して多く、かつ流出件数の観点から大規模な事故が多いため事例から除外した。また、大日本印刷から顧客企業 43 社の個人情報約 860 万件が流出した事故に関しては流出の経路が特殊であり、また事故の報道日が一意に特定できなかったため対象から除外した。
事故の報道日から 260 営業日内に同一企業において個人情報の流出事故が報道されている事例に関しても、イベント・スタディで用いるマーケットモデルが正しく推定されない可能性があるため除外した。このような基準に基づいて得られた分析対象事例は図表 2 に示
情報セキュリティ総合科学第4号

2012 年 11 月
153

廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価

すように 84 件であり、対象企業数は 75 社である。なお、事故の報道が複数回にわたる場
合は第一報の日付を報道日とした。

製造
電気・ガス
情報通信
サービス
銀行・証券
その他金融
合 計

2001年 2002年 2003年 2004年 2005年 2006年 2007年 2008年 2009年 2010年 合計
2
3
6
4
4
1
1
3
24
0
1
1
2
1
2
3
4
3
1
14
3
3
2
4
3
2
2
1
20
1
1
2
7
3
2
2
1
19
2
1
2
5
6
1
6
10
22
14
11
6
3
5
84

3.2 イベント・スタディによる分析方法
3.2.1 イベント・ウィンドウ
イベント・スタディにより個人情報流出事故の影響を評価するためには、どの時点で事故が公表されたかを特定する必要がある。流出事故の情報は一般に、該当企業によりホームページ等で公表されるとともに、上場企業の場合には適時開示制度に則り、TDnet（Timely Disclosure network：適時開示情報伝達システム）を通じて公表される。これらの情報は株式市場に対する影響を考慮し、取引時間終了後に掲載されることが多い。また、その閲覧者も限られていると考えられる。したがって、本稿では株価に影響を及ぼすような情報流出事故は、その翌日には新聞等により報道されるケースが多いことを考慮し、新聞等のマスメディアによって、事故が報道された時点を公表日とした。
したがって、以下では個人情報の流出が前述の全国紙５紙に記事として報道された日がイベント日である。なお、事故の報道が夕刊の場合はその翌日をイベント日とした。また、
このようにして決定されたイベント日が証券取引所の非営業日の場合は直後の営業日をイ
ベント日とした。イベント・ウィンドウの開始時点は、流出事故の発生とその公表日とのタイ
ムラグを考慮して、イベント日の 10 営業日前とし、終了時点はイベント日のほぼ１ヶ月後の20 営業日後とした。

3.2.2 異常リターンの推定
異常リターンの推定に際しては用いたマーケットモデルには TOPIX を採用した。漏洩事
故事ごとに該当企業株価と TOPIX の日次終値を用いて、①式の未知パラメータ α i , β i を推定する。モデルの推定期間はイベント・ウィンドウに先行する 250 営業日である。

R i t = α i + β i R Topix , t + u i t

情報セキュリティ総合科学

第4号

・・・ ①

2012 年 11 月
154

廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価

ここで

Pi ,t − Pi ,t −1
Pi ,t −1

Ri t =

RTopix , t =PTopix ,t − PTopix ,t −1
PTopix ,t −1

Pi t ：企業 i の t 時点における株価終値
PTopix , t ：t 時点における TOPIX 終値である。
上の①式により推定された α̂ i 、 βˆi を用いてイベント期間中の各営業日における異常リターンを推定した上で、平均異常リターン ARt （AR: Abnormal Return）と累積異常リター
ン CAR （CAR: Cumulated AR）を求める。

ARi t = Ri t − αˆ i − βˆi t RTopix , t
ARt =

1 n
∑ ARi tn i=1
T2

CAR (T1 , T2 ) = ∑ ARt
T1

ここで、 CAR (T1 ,T2 ) は期間 T1 から T2 までの累積異常リターンである（ n は対象とした事故数）。このモデルに基づき、帰無仮説「イベントは株価へ影響を与えず、異常リターン
は 0 である」をとして、平均異常リターン ARt に関しては②式が近似的に標準正規分布に従うという性質を用いて検定を行う。

ARt

σt

≈ N (0,1) ・・・ ②

ここで
1

2
 1 n
σ t =  2 ∑ σ i2 
 n i =1 σ i2 =

(

)

−6
2
1
Rit − αˆ i − βˆt RTopix , t∑
L − 2 t = −255

情報セキュリティ総合科学第4号

2012 年 11 月
155

廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価であり、 L は推定ウィンドウの長さ、すなわち 250 である。また、累積異常リターン CAR に関しては③式が近似的に標準正規分布に従うという性質を用いて検定を行う。

n (L − 4 )  1 n ∑ SCAR (T1 , T2 ) ≈ N (0,1) ・・・ ③
L − 2  n i =1
ここでSCAR (T 1 , T 2 ) =CAR (T 1 , T 2 )

σt

である。
異常リターン、累積異常リターン計測のために用いた①式のマーケットモデルの推定期間はイベント・ウィンドウに先立つ 250 営業日である。したがって、この間に同一企業において情報流出事故が発生した場合、マーケットモデルの推定期間中にイベントが発生したことになり、推定したモデルの信頼性が損なわれる。そのため、本稿では対象とする事例を選択する場合に、マーケットモデル推定期間中に個人情報流出事故が公表されていない事例に限定した。

4. 個人情報流出事故の分析
4.1 個人情報保護法施行の影響
図表 3、図表 4 は、対象とした 2001 年から 2010 年の 10 年の間に発生した個人情報の流出事故 84 件のイベント・ウィンドウ中の平均異常リターン ARt を時系列的にプロットしたものである。横軸の座標 0 がイベント日、すなわち事故報道日後の最初の営業日を示している。

情報セキュリティ総合科学第4号

2012 年 11 月
156

廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価

t
1.0%

0.5%

0.0%
-10 -9 -8 -7 -6 -5 -4 -3 -2 -1

0

1

2

3

4

5

6

7

8

9

10 11 12 13 14 15 16 17 18 19 20

-0.5%

-1.0%

AR(t)
Time
-10
0.14%
-5
-0.12%-4-0.10%-3-0.07%-20.17%-1-0.56% ***
0
0.04%
1
0.03%
2
-0.01%
3-0.42% **4-0.25%
5-0.12%
6-0.27%
7-0.15%
80.11%
9-0.11%
100.21%
20-0.11%
1%有意水準 ***5%有意水準 ** 10%有水準 *図表 3 から流出事故がメディアを通じて報道された直前に、異常リターンは大きくマイナ
スに振れており、その直後にプラスに転じその後 3 営業日目に再びマイナスになっている
ことがわかる。図表 4 は②式に従って、平均異常リターンの検定を行った結果である。これ
から事故報道直前と 3 営業日目の平均異常リターンのマイナスは有意な水準にあり、流出事故が株価に負の影響を与えていることがわかる。図表 3、図表 4 から、事故の報道は一時的なショックとして株価に有意な負の影響を与えているものの、4 営業日以降について
は、平均異常リターンは有意な水準ではない。

情報セキュリティ総合科学第4号

2012 年 11 月
157

廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価

t
1.0%

0.5%

0.0%
-10 -9 -8 -7 -6 -5 -4 -3 -2 -1

0

1

2

3

4

5

6

7

8

9

10 11 12 13 14 15 16 17 18 19 20

-0.5%

-1.0%
2000年-2004年

2005年-2010年

2001年～2004年
2005年～2010年
ARt
ARt
Time
Time
-10
0.45%
-10
0.02%
-5
-0.06%-5-0.15%-4-0.07%-4-0.12%-3-0.09%-3-0.06%-2-0.14%-20.29%-1-0.42% **-1-0.92% **00.24%
0-0.04%
10.34%
1-0.09%
2-0.12%
20.03%
3-0.20%
3-0.50% **
40.30%
4-0.46% ***5-0.69%
50.10%
6-0.10%
6-0.73% *7-0.29%
7-0.10%
8
0.27%
8
0.05%
9
-0.02%
9-0.14%
10
0.63%
10
0.05%
20
-0.03%
20-0.14%
1%有意水準 ***5%有意水準 **10%有水準 *個人情報保護法が施行された 2005 年を境に上記の傾向に変化が生じたのかどうかを確認するために、対象事例を流出事故が 2001 年から 2004 年の間に発生した 23 事例と、
2005 年から 2010 年の間に発生した 61 事例の 2 つのグループに分割して、各々のグルー
プ毎に平均異常リターンをみたものが図表 5、図表 6 である。これらの図表から 2001 年～
2004 年、2005 年～2010 年の両期間ともに、情報流出の事故直前において平均異常リターンは有意に負の数値を示していることがわかる。すなわち、個人情報保護法の施行に関係なく、流出事故が一時的なショックとして株価に有意な影響を及ぼしていることになる。
また、イベント日以降においても 2001 年から 2004 年の間では 5,6 営業日目、また 2005 年
情報セキュリティ総合科学第4号

2012 年 11 月
158

廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価

から 2010 年の間では 3,4 営業日目に有意に負の平均異常リターンを記録している。このことは、流出事故が株価に一時的な影響だけではなくて、ある程度の継続的な影響を及ぼしていることを示唆している。
このような継続的な影響の効果を分析するために、T1 時点から T2 時点までの間の累積
異常リターン CAR(T1,T2)を用いて個々の効果が継続的に続いた場合の累積効果を評価する。図表 7、図表 8 はイベント・ウィンドウにおける異常リターンの累積値をプロットしたものである。ここで図表中の<T1、T2>は T1 時点から T2 時点までの累積異常リターンを表している。すなわち、<-10、-1>はイベント日の 10 日前から 1 日前までの累積値であり、<0、+1>
はイベント日からその翌日までの累積値である。図表 7 から、流出事故発生直前から累積
リターンは大きくマイナスに転じ 20 営業日までマイナスの値が続いていることがわかる。また、図表 8 から、事故報道日と、5 日後以降の累積効果はマイナス、かつ有意な水準となっている。これから、漏洩事故は株価に有意に負の影響を与え、その効果は少なくとも 20 営
業日以上、すなわち 1 ヶ月を超えて持続していることがわかる。

t
0.5%
0.0%
-10 -9 -8 -7 -6 -5 -4 -3 -2 -1

0

1

2

3

4

5

6

7

8

9

10 11 12 13 14 15 16 17 18 19 20

-0.5%
-1.0%
-1.5%
-2.0%
-2.5%
-3.0%

<T1,T2><-10 , -1><0 , 0><0 , 1><0 , 3><0 , 5><0 , 7><0 , 10><0 , 20>
1%有意水準 ***情報セキュリティ総合科学

第4号

CAR(T1,T2)-0.74% ***0.04% *
0.07%
-0.37%-0.73% **-1.16% ***-0.95% **-1.50% ***5%有意水準 **10%有意水準 *2012 年 11 月
159

廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価

このような傾向は個人情報保護法施行の前後で変化がみられるのであろうか。そのことを検証するために対象とした 84 事例を事故の報道日が 2001 年から 2004 年の間の 23 事
例と 2005 年から 2010 年の間の 61 事例の 2 グループに分割して、各々のグループ毎に累積異常リターンの変化をみてみる。図表 9、図表 10 はこれら 2 つのグループの累積異常リターンを示している。
図表 9、図表 10 から 2001 年から 2004 の期間と 2005 年から 2010 年の期間とでは、傾向に明らかに違いがあることがわかる。2001 年から 2004 年の間においては、累積異常リタ
ーンは 7 営業日目に有意なマイナスの累積異常リターンが記録されているものの、それ以外では有意な数値は無く、7 営業日以降は上昇傾向に転じ、10 営業日目にはゼロに回帰している。一方、2005 年から 2010 年のグループでは 3 営業日以降、累積異常リターンの数値は有意にマイナスとなっており、その傾向は 20 営業日目まで継続している。図表 9、
図表 10 から、個人情報保護法の施行前後において、個人情報の流出事故が株価に及ぼす影響がより深刻化かつ長期化していることがわかる。

t
2%

1%

0%
-10 -9 -8 -7 -6 -5 -4 -3 -2 -1

0

1

2

3

4

5

6

7

8

9

10 11 12 13 14 15 16 17 18 19 20

-1%

-2%

-3%

-4%
2000年-2004年

2001年～2004年
CAR(T1,T2)<T1,T2><-10 , -1>-0.21%<0 , 0>0.24%<0 , 1>0.59%<0 , 3>0.27%<0 , 5>-0.12%<0 , 7>-1.14% **<0 , 10>-0.26%<0 , 20>1.53%
1%有意水準 ***情報セキュリティ総合科学第4号

2005年-2010年

2005年～2010年
CAR(T1,T2)<T1,T2><-10 , -1>-0.94% ***<0 , 0>-0.04%<0 , 1>-0.13%<0 , 3>-0.61% **<0 , 5>-0.96% ***<0 , 7>-1.16% ***<0 , 10>-1.21% ***<0 , 20>-2.64% ***5%有意水準 **10%有意水準 *2012 年 11 月
160

廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価

本稿で分析対象とした 84 事例は、漏洩の規模が数十件から数百万件の広い範囲にわたっている。このうち、2001 年から 2004 年の間の事例も図表 1 に示すようにその業種分布は多様である。流出事故に対する株式市場の反応は流出時期だけではなくて、事態の深
刻さや業種によっても異なることが予想される。そのため、以下で漏洩事故が株価に与える影響を漏洩規模別、業種別にみることにする。

4.2 流出事故の規模別分析
分析の対象とした漏洩事故はすべて漏洩件数が 10 件以上の事故である。最少の漏洩件数は 11 件、最大は 500 万件強である。漏洩事故の社会的影響は、漏洩件数だけではなく、漏洩情報の質、量、漏洩先、漏洩情報による被害額等、さまざまな要素に左右される。
そのため、流出件数の大小はその社会的影響を必ずしも正しく表しているとは言い難い。
また、流出事故の情報が新聞記事という媒体を介しているために、記事表現も株価に影響を及ぼす可能性がある。張 et al(2009)は、新聞記事を構成する言語表現と株価の間の相関性に関する分析を行い、表現内容と株価の間の相関性に肯定的な結果を報告している。
また、岡田 et al(2010)は行動ファイナンスの観点から、新聞記事の肯定的、否定的表現が投資家心理に影響を与え、それが株価に反映される効果を分析し、肯定的な結果を得ている。これらの結果から、個人情報の流出事故に関しても、流出件数のような直接的な数
値の大きさだけではなくて、記事の表現方法や記事の大きさ等によってもたらされる効果が異なることも想定される。しかしながら、本稿で取り上げた対象事例はすべて個人情報の流出事故であり、記事の表現方法は概ね否定的であり、かつ表現方法にも大きな差異は認められなかったため、流出事故の社会的影響の数値的な代理指標として流出件数を用いることにする。
流出事故の社会的影響と株価の関係を分析するために、流出件数の大小により事例を1000 件以上と 1000 件以下の 2 つのグループに分けた上で、各々のグループ毎に累積異常リターン CAR(T1,T2)の推移をプロットしたものが図表 11、図表 12 である。

情報セキュリティ総合科学第4号

2012 年 11 月
161

廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価

t
1%

0%
-10 -9 -8 -7 -6 -5 -4 -3 -2 -1

0

1

2

3

4

5

6

7

8

9

10 11 12 13 14 15 16 17 18 19 20

-1%

-2%

-3%

-4%
1000件以下1000件以上

流出件数 1,000件以下
CAR(T1,T2)<T1,T2><-10 , -1>
0.13%<0 , 0>-0.03%<0 , 1>-0.07%<0 , 3>0.08%<0 , 5>-0.24%<0 , 7>-0.79% **<0 , 10>0.01%<0 , 20>-1.77% ***流出件数 1,000件以上
CAR(T1,T2)<T1,T2><-10 , -1>-1.46% ***<0 , 0>0.09%<0 , 1>0.18%<0 , 3>-0.73% **<0 , 5>-1.14% ***<0 , 7>-1.46% ***<0 , 10>-1.74% ***<0 , 20>-1.28% ***

1%有意水準 ***10%有意水準 *5%有意水準 **図表 11 から、流出件数が 1,000 件以上の事例においては、流出事故は事故報道直前
から株価に負の影響を与えていることがわかる。図表 12 から、その影響は統計的に有意であり、その効果は 20 営業日後も残っている。一方、漏洩件数 1000 件以下の事例のグループにおいては、株価は必ずしも情報流出の報道直後から反応しておらず、また、その効
果も 1,000 以上のケースに比べて緩やかである。このことから、事故の規模の大小によって株価に与える影響に差異が生じていることがわかる。
それでは、このような傾向を個人情報保護法施行の前後で比べるとどうであろうか。図表
13、図表 14 は 2001 年から 2004 年の間に事故が起こった 23 事例をさらに流出件数が1,000 以上の 15 事例と 1,000 件以下の 8 事例の 2 つのグループに分割して、各々のグル
ープ毎の累積異常リターンをプロットしたものである。これから個人情報保護法施行以前
は、流出件数が 1,000 件以下の事故の関しては、事故は株価に有意に負の影響を及ぼしていないことがわかる。一方、1,000 件以上のケースでは事故が株価に有意に負の影響を及ぼしている。しかしながら、この影響もほぼ 10 営業日あたりまでで解消し、それ以降、累積異常リターンは上昇している。

情報セキュリティ総合科学第4号

2012 年 11 月
162

廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価

t
6%
5%
4%
3%
2%
1%
0%
-1%

-10 -9 -8 -7 -6 -5 -4 -3 -2 -1

0

1

2

3

4

5

6

7

8

9

10 11 12 13 14 15 16 17 18 19 20

-2%
-3%
-4%
1000件以下1000件以上

流出件数 1,000件以下
CAR(T1,T2)<T1,T2><-10 , -1>
2.11% ***
<0 , 0>0.79%<0 , 1>
1.75% ***
<0 , 3>
1.43% ***
<0 , 5>
1.34% ***
<0 , 7>-0.38%<0 , 10>
1.88% ***
<0 , 20>
1.84% ***

流出件数 1,000件以上
CAR(T1,T2)<T1,T2><-10 , -1>-1.44% **<0 , 0>-0.05%<0 , 1>-0.03%<0 , 3>-0.35%<0 , 5>-0.90%<0 , 7>-1.55% ***<0 , 10>-1.40% ***<0 , 20>
1.36% **

1%有意水準 ***10%有意水準 *5%有意水準 **一方、個人情報保護法施行以降について同様の分析を行ったものが図表 15、図表 16 である。これから、個人情報保護法施行以降では、流出件数が 1,000 件以下のケースにおいてもイベント日以降、累積異常リターンは継続して低下し、5、7、20 の各営業日ではその値は有意となっている。流出件数が 1,000 件以上のケースでも同様の傾向を示しており、また 3、5、7、10、20 の各営業日において有意な数値を示している。1,000 件
以下と 1,000 件以上のケースを比較すると傾向は同様であるものの、累積異常リターンの絶対値をみると、1,000 件以上のケースの方が大きく、また有意性も高い。これから
個人情報保護法の施行以降、流出件数が小規模な事故に関しても、株価が施行以前よりも影響を受けやすくなってきていること、したがって流出件数の大きさと株価への影響との間に相関がみられることがわかる。

情報セキュリティ総合科学第4号

2012 年 11 月
163

廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価

t
1%

0%
-10 -9 -8 -7 -6 -5 -4 -3 -2 -1

0

1

2

3

4

5

6

7

8

9

10 11 12 13 14 15 16 17 18 19 20

-1%

-2%

-3%

-4%

-5%
1000件以下1000件以上

流出件数 1,000件以下
CAR(T1,T2)<T1,T2><-10 , -1>-0.40% *<0 , 0>-0.25%<0 , 1>-0.55%<0 , 3>-0.28%<0 , 5>-0.66% *<0 , 7>-0.90% **<0 , 10>-0.48%<0 , 20>-2.73% ***流出件数 1,000件以上
CAR(T1,T2)<T1,T2><-10 , -1>-1.46% ***<0 , 0>0.16%<0 , 1>0.28%<0 , 3>-0.92% **<0 , 5>-1.25% ***<0 , 7>-1.42% ***<0 , 10>-1.91% ***<0 , 20>-2.55% ***

1%有意水準 ***10%有意水準 *5%有意水準 **4.3 業種別の分析
個人情報流出の影響は流出件数だけではなくて、流出した情報の内容により異なることが想定される。したがって、個人情報の中でも特に機密性の高い情報を扱う業種と、その他の業種では流出事故が社会に与える影響度合いが異なる可能性がある。機密性の高い情報を扱い、厳格な管理を求められる業種に金融や医療がある。本稿で分析対象とした 75 企業には医療に係る企業は存在しなかったため、ここでは対象企業を金融グル
ープとそれ以外の業種の 2 つのグループに分割して、グループ間の差異を分析する。な
お、対象の 84 事例のうち銀行および証券企業に関するものが 19 事例あり、分析に必要な事例は確保できていると考え、金融業は銀行・証券業のみとし生保・損保、ノンバンクは金融に含めず銀行・証券業以外とした。

情報セキュリティ総合科学第4号

2012 年 11 月
164

廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価

t
2%

1%

0%
-10 -9 -8 -7 -6 -5 -4 -3 -2 -1

0

1

2

3

4

5

6

7

8

9

10 11 12 13 14 15 16 17 18 19 20

-1%

-2%

-3%

-4%
銀行・証券

銀行・証券以外

銀行・証券
CAR(T1,T2)<T1,T2><-10 , -1>
0.55%<0 , 0>0.23%<0 , 1>0.46%<0 , 3>
0.32% *
<0 , 5>
0.37% *
<0 , 7>-0.35%<0 , 10>0.01%<0 , 20>-1.93% ***銀行・証券以外
CAR(T1,T2)<T1,T2><-10 , -1>-1.12% ***<0 , 0>-0.02%<0 , 1>-0.05% *<0 , 3>-0.57% **<0 , 5>-1.05% ***<0 , 7>-1.39% ***<0 , 10>-1.23% ***<0 , 20>-1.37% ***

1%有意水準 ***10%有意水準 *5%有意水準 **図表 17、図表 18 は 2 つのグループの平均異常リターンの推移を示している。この図表から銀行・証券業以外のグループでは、漏洩事故は事故の報道直後から株価に有意に負の影響を与え、その影響は 20 営業日以降まで継続していることがわかる。一方、銀行・証券業では事故報道直後は株価に影響が現れないものの、第 3、第 4 営業日にかけて有意な負の影響が観察される。その後、負の影響はなくなり、20 営業日以降に再び影響がでてきている。ただし、銀行・証券業は株価変動の大きな業種であり、異常リターンのボラティリ
ティも高い可能性がある。そのため、この第 20 営業日以降にみられる負の影響が、漏洩事故の直接的な影響か否かはこのデータだけからは判断することは難しい。いずれにしても、銀行・証券業はそれ以外の業種と比較して、流出事故の影響が軽微であるという結果になっている。

情報セキュリティ総合科学第4号

2012 年 11 月
165

廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価

t
6%
5%
4%
3%
2%
1%
0%
-10 -9 -8 -7 -6 -5 -4 -3 -2 -1

0

1

2

3

4

5

6

7

8

9

10 11 12 13 14 15 16 17 18 19 20

-1%
-2%
-3%
-4%
2000年-2004年

2005年-2010年

2001年～2004年
CAR(T1,T2)<T1,T2><-10 , -1>
1.42%<0 , 0>1.17%<0 , 1>
2.49% ***
<0 , 3>
1.27% **
<0 , 5>
1.16% **
<0 , 7>0.63%<0 , 10>
2.02% ***
<0 , 20>
2.45% ***

2005年～2010年
CAR(T1,T2)<T1,T2><-10 , -1>
0.31%<0 , 0>-0.02%<0 , 1>-0.08%<0 , 3>0.07%<0 , 5>
0.17% *
<0 , 7>-0.61%<0 , 10>-0.53%<0 , 20>-3.10% ***

1%有意水準 ***10%有意水準 *5%有意水準 **個人情報流出事故の影響を、銀行・証券業とそれ以外の業種の間で比較すると、2001
年から 2010 年の 10 年間では銀行・証券業以外の業種において事故の負の影響が顕著に現れている。これら 2 つの業種グループで、個人情報保護法施行の前後で事故が株価に及ぼす影響にどのような変化が現れているのであろうか。図表 19 は銀行・証券業に関して 2001 年から 2004 年の間と 2005 年から 2010 年の間の累積異常リターンの推移を示したものである。これから銀行・証券業においては、個人情報保護法施行以前において流出
事故は株価に負の影響を及ぼしてはいない。しかしながら、法施行以降では累積異常リターンが施行以前と異なる傾向を示しており、20 営業日目には有意に負の数値を示している。すなわち、銀行・証券業においては個人情報保護法施行以降、個人情報の流出事故
が株価に負の影響を及ぼすようになってきたことを否定できない結果となっている。
一方、銀行・証券業以外の業種では図表 21 に示すように、個人情報保護法施行以前
においても、流出事故直前に累積異常リターンが下落し、その後 9 営業日目まで下降傾向を示し、その後は上昇している。7 営業日目には有意に負の数値を示しており、個人情報の流出事故が 10 営業日程度の間、継続して負の影響を及ぼしている可能性を示して
情報セキュリティ総合科学第4号

2012 年 11 月
166

廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価いる。個人情報保護法施行以降では、この傾向はさらに顕著になり、流出事故の影響はより深刻に、かつ 20 営業日以降も継続していることがわかる。

t
2%
1%
0%
-10 -9 -8 -7 -6 -5 -4 -3 -2 -1

0

1

2

3

4

5

6

7

8

9

10 11 12 13 14 15 16 17 18 19 20

-1%
-2%
-3%
-4%
-5%
2000年-2004年

2001年～2004年
CAR(T1,T2)<T1,T2><-10 , -1>-0.55%<0 , 0>0.05%<0 , 1>0.19%<0 , 3>0.06%<0 , 5>-0.39%<0 , 7>-1.51% ***<0 , 10>-0.74%<0 , 20>1.33%
1%有意水準 ***2005年-2010年

2005年～2010年
CAR(T1,T2)<T1,T2><-10 , -1>-1.35% ***<0 , 0>-0.04%<0 , 1>-0.15%<0 , 3>-0.83% **<0 , 5>-1.33% ***<0 , 7>-1.34% ***<0 , 10>-1.43% ***<0 , 20>-2.49% ***5%有意水準 **10%有意水準 *5. まとめと今後の課題
本稿では、個人情報保護法の施行に起因する情報セキュリティ意識の変化を、証券市
場をフィルターとみなしイベント・スタディを用いて株価の変化を分析することにより、定量的に評価することを試みた。分析結果から、個人情報保護法の施行前後において個
人情報の流出事故が株価に及ぼす影響に明らかに変化が見られた。すなわち、個人情報保護法が施行された 2005 年以前においても、個人情報の流出事故は軽微ながら株価に影響を及ぼしていたとはいえ、法施行以降はその影響がより深刻化かつ長期化している
ことが明らかになった。
情報セキュリティ総合科学第4号

2012 年 11 月
167

廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価

流出規模別の分析結果からは、個人情報保護法施行以前においては規模の小さな流出
事故は株価に影響を及ぼさず、規模の大きな流出事故においても影響は 10 営業日以内になくなり、影響の程度も比較的軽微であった。しかしながら、法施行以降は規模の小さな流出事故も株価に負の影響を及ぼし、20 営業日以降までその影響が継続しているという結果が得られた。さらに、規模の大きな流出事故に関しては、法施行以前においても負の影響はみられたものの、施行以降は、それ以前と比較してその影響はより深刻に、かつ長期にわたっていることも確認できた。
流出事故の影響を業種別に分析した結果からは銀行・証券業では個人情報保護法施

行以前においては、流出事故は株価に負の影響を及ぼすという結果は得られなかった。
しかし、法施行以降は累積異常リターンが施行以前と異なる傾向を示し、流出事故が株価に 20 営業日目においても負の影響を及ぼしているという結果が得られた。銀行・証券業以外の業種では法施行以前においても流出事故が 10 営業日程度の間、株価に影響を及ぼしていたが、施行以降はその影響がより深く、かつ長期にわたるようになったという結果が得られた。
これらの分析結果から、個人情報保護法の施行以降においては、個人情報の流出事故
は流出規模の大小や業種に係わらず株価に負の影響をより深く、かつ長期に及ぼすようになってきていることが明らかになった。
図表 1 に示したように内閣府のアンケート調査によれば、個人情報保護法が施行された 2005 年前以降、個人情報保護問題への関心が高まっている。本稿では、このような関心の高まりによる情報セキュリティ意識の変化を、流出事故の影響が株価に及ぼす影響を分析することにより定量的に評価することを試みた。分析の結果は、法制度による情報セキュリティ意識の変化を、アンケートといった直接的な方法ではなくて、証券市場というフィルターを介して間接的にかつ定量的に評価、分析しようとする試みの有効性を示したものであると言えよう。
しかしながら、本稿で用いた方法にもいくつかの課題がある。
まず、本稿では事故の新聞報道というインパクトが及ぼす影響を経時的に積分する形でその累積効果を分析した。このことは、各事例に関して、ある 1 時点におけるインパクトの影響分析を行ったということを意味している。しかしながら、実際には各々の事例毎に単一のメディアでのみ報道されたのか、あるいは複数のメディアで報道されたのか、または、その後の事故の被害拡大等による続報の有無などにより、その影響の大きさは異なることが想定される。米国においては、2001 年から 2006 年の間のデータを用いた分析から、企業に関するニュースの広がりと売買スプレッド、売買高、ボラティリティの関係を分析し、両者に相関があるという結果が報告されている（Soltes(2009)）。本稿で対象とした事例はいず
れも個人情報の流出事故という単一の事象のため、事故の報道内容は報道メディアにより大きな差がないと考えられるが、事例毎に報道の質と量の違いを考慮し分析を行う必要が情報セキュリティ総合科学第4号

2012 年 11 月
168

廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価ある。
もうひとつの課題は、行動ファイナンス等の分野で得られている市場関係者の行動や市場価格に関する知見、および分析手法の応用可能性を考えることである。個人情報の流出事故によるビジネスへの悪影響や、多額の損害賠償の必要性等により、企業価値が毀損され、これにより株価が下落する可能性がある。このようなケースにおいては、株価の変化はファンダメンタルズの変化に起因するものであり、効率的市場仮説と整合的である。しかしながら、対象事例の大部分はファンダメンタルズにまで影響を及ぼすレベルの事故ではない可能性も高い。このような場合には、株価が有意なレベルで変動するということは、
流出事故報道に対する投資家の過剰反応を意味することになる。本稿はこのようなニュースに対する過剰な反応が存在し、その強さがニュースに対する関心度に比例するという仮定に基づき、株価の変化を反応の強さの代理指標として用いることによって、間接的に意識の変化を評価しようとしたものである。ニュースに対する過剰反応は証券市場におけるアノマリーの一つとして捉えられており、その実証研究が行われている。米国における研究では良いニュース、悪いニュースの両方に関して証券市場において過剰反応が存在すること、またニュースが株価に及ぼす影響も一様ではなくて、たとえばバリュー株とグロース
株では株価の動きが異なることが報告されている（A.J.Black,D.G.McMillian(2006)）。日本
においても株式の先物市場に関して実証研究を行った例が報告されており、そこでもニュースに対する過剰反応の存在が報告されている（高橋(2004)）。これらの研究においては、
行動ファイナンスの観点から投資家の過剰反応を説明することが試みられている。本稿で行ったような、株価を代理指標として情報セキュリティ意識の変化を評価しようとする試みをより精緻化し、説明力を向上させるためには、このようなファイナンス分野の知見を活用する必要があると考えられる。
現代社会において情報システムは社会インフラとしての機能を担うようになってきている。
情報システムに対する安全性や正確性等に関する、開発者、運用者、利用者の意識は時代とともに徐々に変化してきていると考えられる。また、その意識そのものが国や文化によって異なると考えられる。、このような意識の変化や国・文化による相違を分析することは、
情報システムに要請される機能を考えるうえでもきわめて重要なことである。このような意味から、今後、本稿で用いたような手法の改善を行うとともに、分析対象を個人情報の流出
事故の場合だけではなくて、システム障害等の事象さらには情報システムそのものに対する意識含めた、より広い意味での情報セキュリティ意識の評価、分析を進めることが必要で
ある。

参考文献

情報セキュリティ総合科学第4号

2012 年 11 月
169

廣松毅：個人情報保護法による情報セキュリティ意識の変化に関する定量的評価[1] 岡田克行、羽室行信「ファイナンス研究における新しいアプローチ－テキストマイニングを用いた投資家心理の数値化について－」『ビジネス&アカウンティングレビュー Vol.6』2010 年[2] 河路武志「個人情報漏洩事件に対する株式市場の反応」『管理会計学 Vo.16 No.1』2007年[3] 高橋典孝「証券価格変動のモメンタム現象とリバーサル現象に関する考察－行動ファイナンスの考え方の整理とそれに基づく定量分析－」『金融研究 Vol.２３ No.2』2004 年[4] 高籔学、澤谷拓郎、村田晴紀「情報セキュリティ投資の企業価値に与える影響」『証券経済学
会年報 Vol.45』2010 年[5] 張へい、松原茂樹「株価データに基づく新聞記事の評価」『第 22 回人工知能学会全国大会
予稿集』2008 年[6] 廣松毅「情報セキュリティ事故が企業価値に与える影響の分析-イベント・スタディ法を用いたリスク評価の試み-」『情報セキュリティ科学 Vol.3』2011 年 11 月
[7] 廣松毅、坪根直毅、小林稔、栗田学「情報セキュリティと企業経営」『経済等研究 Vol.39
No.3』2011 年[8] 本田隆虎、和泉潔 et al「日次ニュース業界別記事抽出による株価変動予測」『人工知能学会研究会資料 SIG-FIN-005-06』2009 年[9] A.J.Black,D.G.McMillian,” Asymmetric Risk Premium in Value and Growth Stock”

International Review of Financial Analysis, Vol.15,No.3、2006 年[10] J.Y.Campbell、A.W.Lo、A.C.Mackinlay, The Econometrics of Financial Markets
Princeton University Press、1997 年[11] E.Soltes,”News Dissemination and the Impact of the Business Press”,
http://mms.businesswire.com/bwapps/mediaserver/ViewMedia?mgid=167154&vid=
1&download=1,2009 年[12] Y.Konchitchki、D.E.O'Leary, “Event Study Methodologies in Information Systems
Research” International Journal of Accounting Information Systems Vol.12、2011年

情報セキュリティ総合科学第4号

2012 年 11 月
170