情報セキュリティ事故が企業価値に与える影響の分析-イベント・スタディ法を用いたリスク評価の試み-

廣松 毅1

	
 
	
 
	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  概 要
企業では情報セキュリティ対策に多大な費用を費やしているにもかかわらず、その具体的効果を評価することは困難である。本稿では情報セキュリティ対策が企業価値に与える影響を定量的に評価するために、株価を代理指標として、情報セキュリ
ティ事故が企業価値に与える負の影響をイベント・スタディの方法を用いて分析した。
対象とした事故を個人情報保護法施行の 2006 年以降に起きた一定規模以上の個人情報の漏洩事故に限定した上で、情報漏洩事故が株価に与える影響を分析した。分析に際しては、個人情報の漏洩が企業価値に与える影響は一様ではなく、事故の規模や業種・業態により異なる可能性を考慮して、漏洩規模別、業種別に事故が株価に与える影響を分析した。また、個人情報保護法施行以降、インターネットショッピングやインターネットバンキングの利用が拡がるにつれて、個人情報の安全性に関する意識が変化した可能性を考慮して、漏洩事故に及ぼす影響の時系列変化の分析も試みた。
この分析の結果は、事後的ではあるものの、情報セキュリティ事故のリスク評価の試みの一つである。

	 	 1. はじめに情報システムは企業活動の基盤であり、それに対する脅威は企業活動に大きな影響を及ぼす。そのために、企業では多大な費用を費やし情報セキュリティ対策を講じている。
本稿では情報セキュリティ対策が企業価値に与える影響を定量的に評価するために、情報セキュリティ事故が企業価値に与える負の影響をイベント・スタディの方法を用いて計測した。情報セキュリティ事故は情報漏洩、システム障害、DOS 攻撃・標的型攻撃等のサイバー攻撃と多岐にわたる。また、情報漏洩も個人情報、機密情報と漏洩する情報の種類
1 情報セキュリティ研究科	
  教授

情報セキュリティ総合科学	
  第 3 号	  2011 年 11 月	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  91

廣松毅：情報セキュリティ事故が企業価値に与える影響の分析により被害の様相が異なる。そこで、本稿では個人情報の漏洩に着目して、株価を代理指標にすることにより個人情報漏洩事故が企業価値に与える影響の分析を試みる。
個人情報の漏洩事故は毎年、数多く報告されており、その一部はメディアにも大きく取り上げられている。このように個人情報の漏洩が大きな社会問題として認識されるようになったのは、2005 年から施行された個人情報保護法によるところが大きい。本稿では個人情報保護法施行後の 2006 年から 2009 までの事故事例の中から漏洩件数が一定規模以上の事例を抽出し、これらを対象に情報漏洩事故が株価に与える影響を分析する。分析に際しては、情報セキュリティ事故が企業価値に与える影響は一様ではなく、事故の規模、業種・業態により異なる可能性を考慮した。また、個人情報保護法施行以降の時間変化が、漏洩事故に及ぼす影響をみるために年毎の分析も試みる。
	 2. 分析の方法
2.1 分析データ
分析は 2006 年から 2009 年の間の個人情報漏洩事故を対象とした。ただし 2008 年 9月に起きたリーマンショックが株式市場に及ぼした影響を考慮して、2008 年 9 月から 2009年 8 月までの 1 年間に発生した事故は分析対象から除外した。また、対象事例の選択に際しては個人情報の漏洩件数が 100 件以上で、かつ全国紙（日本経済新聞、朝日新聞、
読売新聞、毎日新聞、産経新聞）または主要な地方紙に記事として掲載されたケースを選択基準とした。図表 1 に示すように分析対象の事例は 47 件であり、対象企業数は 42 社
（金融業 12 社、非金融業 30 社）である。

図表1 	
 分析対象4 7 事例の業種別・年別内訳
業 種
製造
電気・ガス
情報通信
サービス
金融
合 計
	
  	
  	
 

2006年
7
1
4
4
4
20

2007年
5
2
2
1
7
17

2008年〜2009年
4

2
4
10

合 計
16
3
6
7
15
47

2.2 イベント・スタディによる分析方法
2.2.1 イベント・ウィンドウ分析に際しては、イベント・スタディの方法を用いて、個人情報漏洩事故が株価形成に及ぼす影響を実証的に分析する。イベント・スタディにより個人情報漏洩の影響を評価するためには、どの時点で事故が公表されたかを特定する必要がある。企業は情報セキュリ
ティに係る事故が発生した場合にはホームページ等で公表するケースが多い。また証券
	  情報セキュリティ総合科学	
  第 3 号	  2011 年 11 月

92

廣松毅：情報セキュリティ事故が企業価値に与える影響の分析

取引所上場企業の場合は、それが株価形成に重大な影響を及ぼすと判断された場合には、適時開示制度に則り、TDnet（Timely Disclosure network：適時開示情報伝達システ
ム）を通じて広く、かつタイムリーに情報を伝達する義務がある。しかしながら、ホームペー
ジへの掲載は株式市場に対する影響を考慮し、取引時間終了後に掲載されることが多く、閲覧者も限られている。また、株価へ影響を及ぼすような一定規模以上の事故では、ホームページ等で公表された翌日には新聞等により報道されるケースが多い。これらの点を考慮すると、株式市場への影響という観点からは新聞等のマスメディアによって、事故が報道された時点を公表日とすることが望ましいと考えられる。
このような観点から、本稿では個人情報の漏洩が前述の全国紙５紙、または主要な地方
紙に記事として報道された日をイベント日とすることとした。なお、事故の報道が夕刊の場
合はその翌日をイベント日とした。また、このようにして決定されたイベント日が証券取引所の非営業日の場合は直後の営業日をイベント日とした。イベント・ウィンドウは、イベント日の 5 営業日前から 10 営業日後の 16 日間とし、推定ウィンドウはイベント・ウィンドウに先行する 250 営業日とした。

2.2.2 異常リターンの推定
異常リターンの推定に際しては、最初にマーケットモデルを特定する必要がある。本稿ではマーケット・インデックスとして TOPIX を採用したマーケットモデルを採用して、漏洩事故ごとに該当企業株価と TOPIX の日次終値を用いて、①式の未知パラメータ α i , β i を推定する。モデルの推定期間はイベント・ウィンドウに先行する 250 営業日である。 β i は該当
企業株価が TOPIX から受ける影響の大きさを表している。

Ri t = α i + β i RTopix , t + ui t 	  ・・・	
  ①
ここで
	
  	
  	
  	
  	
  	
  Ri t =Pi ,t − Pi ,t −1

RTopix , t =Pi ,t −1
PTopix,t − PTopix ,t −1
PTopix ,t −1

	
  	
  	
  	
  	
  	
  	
  	
 

Pi t ：企業 i の t 時点における株価終値

	
  	
  	
  	
  	
  	
  	
  	
 

PTopix , t ：t 時点における TOPIX 終値である。
	  情報セキュリティ総合科学	
  第 3 号	  2011 年 11 月

93

廣松毅：情報セキュリティ事故が企業価値に与える影響の分析

上の①式により推定された α̂ i 、 βˆi を用いてイベント期間中の各営業日における異常リターンを推定して、１漏洩事故あたりの平均異常リターン ARt （AR: Abnormal Return）と、その値の期間 T1 から T2 までの累積、すなわち累積異常リターン CAR(T1 ,T2 ) を求める
（CAR: Cumulated AR）。 n は対象とした漏洩事故数である。

ARi t = Ri t − αˆ i − βˆi t RTopix, t
	
  	
  	
  	
  	
  	
  ARt =

1 n
∑ ARi tn i =1
T2

CAR (T1 , T2 ) = ∑ ARt
T1

このモデルに基づき、帰無仮説「イベントは株価へ影響を与えず、異常リターンは 0 である」をとして、平均異常リターン ARt に関しては②式が標準正規分布に従うことにより検定
を行う。

ARt

σt

≈ N (0,1) ・・・
②

ここで
1

⎛ 1 n⎞ 2
σ t = ⎜ 2 ∑ σ i2 ⎟⎝ n i =1 ⎠−62
1
σ i2 =
Rit − αˆ i − βˆt RTopix , t∑
L − 2 t = −255()

で あ り 、 L は 推 定 ウ ィ ン ド ウ の 長 さ 、 す な わ ち 250 で あ る 。 ま た 、 累 積 異 常 リ タ ー ン

CAR(T1 ,T2 ) に関しては③式が標準正規分布に従うことにより検定を行う。
n (L − 4 ) ⎛ 1 n⎞
③⎜ ∑ SCAR (T1 , T2 )⎟ ≈ N (0,1) ・・・
L − 2 ⎝ n i =1⎠
ここでSCAR(T1 , T2 ) =CAR (T1 , T2 )

σt

	
  	
  	
  	
  	
  	
  	
  	
  	
  	
 

である。
	
  情報セキュリティ総合科学	
  第 3 号	  2011 年 11 月

94

廣松毅：情報セキュリティ事故が企業価値に与える影響の分析③式が成り立つためには異常リターン間に相関がないことが前提となる。株価を用いる
場合に、これを満たすためにはイベント・ウィンドウが重なっていないことが必要となる。本稿で対象とした 47 事例では、そのうちの 14 事例においてイベント・ウィンドウが重なっている。しかしながら、これらのイベント・ウィンドウが重なっている事例において、1 例を除き全て業種が異なっていることから、異常リターン間に相関の影響は軽微であると判断し分析を行う。

3. 分析結果
3.1 異常リターンの計測結果
図表 2 は対象とした 47 事例の平均異常リターン ARt を時系列にプロットしたものであり、横軸の座標 0 がイベント日、すなわち事故報道日後の最初の営業日である。図表 2 から漏洩事故がメディアを通じて報道された直後は、異常リターンは大きくマイナスに振れており、その後の５営業日、すなわち１週間程度は負の影響が残っているようにみえる。図表 3 は②式に従い、 ARt の検定を行った結果である。これから事故報道直後は平均異常リター
ンの数値は有意な水準にあり、漏洩事故が株価に負の影響を与えていることがわかる。

図表3 	
 平均異常リターン

図表2 	
 平均異常リターンの推移
1.0%
0.8%
0.6%
0.4%
0.2%
0.0%
-0.2%

-5 -4 -3 -2 -1 0

1

2

3

4

5

6

7

8

9

10

-0.4%
-0.6%
-0.8%
-1.0%
（注）横軸はイベント・ウィンドウであり、目盛0がイベント日を示す。
以下の図表も同様である。

Time
-5
-4
-3
-2
-1
0
1
2
3
4
5
6
7
8
9
10

ARt
0.25%
-0.23%-0.26%
0.54% **
0.01%
-0.59% **-0.31%
0.11%-0.27%-0.41% *-0.37%
0.39% *
0.12%
0.16%
-0.03%
0.64% **

1%有意水準*** 5%有意水準**
10%有意水準*

その後も、T=1,3,4,5,9 の時点で異常リターンはマイナスとなっているが、T=4 を除いて統計的には有意と言えない水準である。
	
  図表 3 から、事故の報道は一時的なショックとして株価に有意な影響を与えることがわかる。そして、その後も 5 営業日の間は平均異常リターンがおおむねマイナスとなっている。
	  情報セキュリティ総合科学	
  第 3 号	  2011 年 11 月

95

廣松毅：情報セキュリティ事故が企業価値に与える影響の分析

しかしながら、各々の影響はそれだけでは有意となる水準ではなくて、 ARt の観察だけからではこのような継続的なショックの効果は評価できない。そのために、累積異常リター
ン CAR(T1 ,T2 ) を用いて個々の効果が継続的に続いた場合の累積効果を評価することに
する。

図表4 	
 累 積異常リターンC AR (- 5 ,t)の推移

図表5 	
 累 積異常リターン

0.5%

0.0%
-5 -4 -3 -2 -1 0

1

2

3

4

5

6

7

8

9 10

-0.5%

<T 1 , T2>< -5,-1 >< 0, +1 >< 0, +3 >< 0, +5 >< 0, +10 >CAR(T1,T2)
0.33%-0.90% ***-1.06% ***-1.84% ***-0.55%

1%有意水準*** 5%有意水準**
10%有意水準*

-1.0%

-1.5%

-2.0%

	
  	
  	
  	
  	
  	
  	
 

図表 4 はイベント・ウィンドウにおける異常リターンの累積値をプロットしたものであり、図表 5 は特定の期間の累積異常リターンを表している。これらの図表中の<T1、T2>は T1 時点
から T2 時点までの期間、 CAR(T1 ,T2 ) が累積異常リターンを表している。図表 4 から、事故報道直後から累積異常リターンはマイナスに転じ、5 営業日目をボトムとして 10 営業日まで
マイナスの値が続いていることがわかる。図表 5 において、たとえば<-5、-1>はイベント日、
すなわち事故報道日の 6 日前から 1 日前までの累積値であり、<0、+1>は事故報道日から
その翌日までの累積値である。この図表 5 から、事故報道日の翌日、3 日後、5 日後までの累積効果はマイナスで、かつ有意な水準となっている。これから、漏洩事故は株価に有意にマイナスの影響を与え、その効果は少なくとも 5 営業日、すなわち 1 週間程度は持続していることがわかる。
上記の分析結果から、対象とした 47 事例は 2006 年から 2009 年の間におきた漏洩事故に関して、少なくともこの間では個人情報の漏洩事故が株式市場に 1 週間程度の間、有意な影響を与えていることが見て取れる。しかしながら、対象とした 47 事例は、漏洩の規模が数百件から数百万件の広い範囲にわたっている。また、図表 1 に示したようにその業種分布も多様である。漏洩事故に対する株式市場の反応は事態の深刻さ、業種・業態、時期により異なることが予想される。そのため、以下では漏洩事故が株価に与える影響を漏洩規模別、業種別、時系列的にみていくことにする。

	  情報セキュリティ総合科学	
  第 3 号	  2011 年 11 月

96

廣松毅：情報セキュリティ事故が企業価値に与える影響の分析

3.2 事故の規模別の分析
	  分析の対象とした漏洩事故はすべて漏洩件数が 100 件以上の事故であり、漏洩件数は最小で 103 件、最大の事故では 399 万件強である。漏洩事故の社会的影響に関しては、漏洩件数だけでではなくて、漏洩情報の質、量、漏洩先、漏洩情報による被害額等、さまざまな観点から評価を行う必要がある。しかしながら、漏洩先や漏洩情報による直接・間接的被害に関しては、正確な情報の取得が困難である。また、本稿で対象とした事例はすべて個人情報の漏洩事故であることから、本節では個人情報漏洩事故の質的な差異は捨象
し、漏洩事故の社会的影響の代理指標として漏洩件数の大小を用いることにする。
漏洩事故の社会的影響と株価の関係を分析するために、漏洩件数の大小により事例を1000 件以上と 1000 件以下の 2 つのグループに分けた上で、各々毎に平均異常リターン

ARt の推移をプロットしたものが図表 6 と図表 7 である。
図表7 	 A R tの推移（
漏洩件数1 0 0 0 件以下）

図表6 	 A R tの推移（漏洩件数1 0 0 0 件以上）
1.0%

1.0%

0.8%

0.8%

0.6%

0.6%

0.4%

0.4%

0.2%

0.2%
0.0%

0.0%
-0.2%

-5 -4 -3 -2 -1 0

1

2

3

4

5

6

7

8

9 10

-0.2%

-0.4%

-0.4%

-0.6%

-0.6%

-0.8%

-0.8%

-1.0%

-1.0%

-5 -4 -3 -2 -1 0

1

2

3

4

5

6

7

8

9 10

	
 

図表8 	
 規模別平均異常リターン
Time
-5
-4
-3
-2
-1
0
1
2
3
4
5
6
7
8
9
10

	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
 

漏洩事故の規模
1000件以上1000件以下
0.30%
0.18%-0.06%-0.48%-0.22%-0.31%
0.93%-0.02%-0.21%
0.35%-0.58% *-0.60% *-0.27%-0.38%-0.14%
0.48%-0.16%-0.42%-0.74% **0.08%-0.12%-0.73% **
0.30%
0.52%
0.09%
0.18%
-0.23%
0.74%-0.22%
0.25%
0.44%
0.94%

1%有意水準*** 5%有意水準** 10%有意水準*

	  情報セキュリティ総合科学	
  第 3 号	  2011 年 11 月

97

廣松毅：情報セキュリティ事故が企業価値に与える影響の分析

図表 6、図表 7 から T=0、すなわち事故報道直後はともに異常リターンはマイナスになっており、図表 8 からその値はどちらも統計的に有意である。しかしながら、その後の推移をみると、1000 件以上のグループでは、5 営業日の間は異常リターンがマイナスとなっており、
また 6 営業日以降も大きくプラスに転じるということはない。一方、1000 件以下のグループ
では 6 営業日以降、異常リターンはプラスに転じ増加傾向にある。
すなわち、1000 件以上の漏洩事故と 1000 件以下の事故を比較すると、どちらのケースも公表直後の 1 週間は異常リターンがマイナスに振れているものの、その後は持ち直している。しかしながら、6 営業日以降をみると 1000 件以下のケースの方が平均異常リターン
がより大きくプラスに転じており、漏洩事故の規模が大きいほど、その影響が長く続いていることをうかがわせる結果となっている。
このことを累積異常リターン CAR(T1 ,T2 ) の推移からみると、図表 9 は漏洩件数 1000 件以上の事例のイベント・ウィンドウにおける累積異常リターンの推移を示しており、これから事故報道直後から株価に負の影響を与えていることがわかる。図表 11 から、その影響は統計的に有意であり、その効果は 10 営業日後も残っていることがわかる。一方、図表 10は漏洩件数 1000 件以下の事例のイベント・ウィンドウにおける累積異常リターンの推移である。これから、1000 件以上の事例と同じく、事故公表直後から株価は下降しマイナスとなったあと、10 営業日後にはプラスに転じ、事故の影響が 1000 件以上の事例に比べて比較的速やかに減少していく傾向にあることがわかる。

図表9 	
 C A R(- 5 ,t)の推移（漏洩件数1 0 0 0 件以上）

図表1 0 	 C A R(- 5 ,t)の推移（漏洩件数1 0 0 0 件以下）

1.5%

1.5%

1.0%

1.0%

0.5%

0.5%
0.0%

0.0%
-5 -4 -3 -2 -1 0

1

2

3

4

5

6

7

8

-5 -4 -3 -2 -1 0

9 10

-0.5%

-0.5%

-1.0%

-1.0%

-1.5%

-1.5%

-2.0%

-2.0%

1

2

3

4

5

6

7

8

9 10

1%有意水準*** 5%有意水準** 1

図表1 1 	 漏洩規模別累積異常リターン< T 1 , T2 >< -5,-1 >< 0, +1 >< 0, +3 >< 0, +5 >< 0, +10 >漏洩事故の規模別 CAR(T 1,T2)
1000件以上1000件以下
0.74%-0.28%-0.85%-0.98% *****-1.15%-0.92% ******-2.02%-1.57% *****-1.64%
1.07% *

1%有意水準*** 5%有意水準** 10%有意水準*

	  情報セキュリティ総合科学	
  第 3 号	  2011 年 11 月

98

廣松毅：情報セキュリティ事故が企業価値に与える影響の分析

このことから、事故の規模の大小によって投資主体の受け止め方に相違が生じ、その結果として株価に与える影響に差異が生じていることがわかる。ただし、一般的には、事故の規模が大きいほど、報道機関に大きく取り上げられる傾向にある。そのため、この分析結果
が事故の規模の大小というよりは、報道機関の報道の仕方に依存している可能性は否定
できない。
	
 

3.3 業種別の分析
	  機密情報の種類は企業活動に密接に関わっている。たとえば、B to B 型の企業にとって、主たる個人情報は社員情報を中心としたものになる傾向がある。そのため、このような企業では情報の重要度という観点からは、個人情報もさることながら、特許や研究開発関連の技術情報や取引等に関連する営業情報が大きな比重を占めることが予想される。一方、多くの B to C 型の企業においては、情報管理の観点からは膨大な顧客情報の管理が主要な関心事である。また、個人情報の中でも特に機密性の高い情報を扱う医療や金融といった業種と、その他の業種では漏洩事故が社会に与える影響度合いが異なるため、自ずと情報管理の在り方が異なってくる。このように、業種や業態により管理すべき情報と、それが漏洩した場合の社会的影響が異なってくることが予想される。したがって、漏洩事
故が株価に与える影響を考察する場合においても、このような業態、業種による違いを考慮することが必要である。
このような観点から、本節では業種により漏洩事故が株式市場にどのような影響を与えるのかを分析する。ただし、本稿ではサンプル数の制約と対象事例の業種分布を考慮して、
47 事例を金融業（銀行、証券、生損保）と非金融業の 2 つの業種グループに分類した上で、各々の業種に関して漏洩事故の影響を対比し分析を行うこととする。なお、図表 1 に示すように各業種グループの構成は、金融業が 15 事例、12 企業であり、非金融業が 32 事例、30 企業となっている。
	
 図表1 2 	 A R tの推移（非金融業）

図表1 3 	 A R tの推移（金融業）

1.0%

1.0%

0.8%

0.8%

0.6%

0.6%

0.4%

0.4%

0.2%

0.2%

0.0%
-0.2%

0.0%
-5 -4 -3 -2 -1 0

1

2

3

4

5

6

7

8

9 10

-0.2%

-0.4%

-0.4%

-0.6%

-0.6%

-0.8%

-0.8%

-1.0%

-1.0%

	
  情報セキュリティ総合科学	
  第 3 号	  2011 年 11 月

-5 -4 -3 -2 -1 0

1

2

3

4

5

6

7

8

9 10

99

廣松毅：情報セキュリティ事故が企業価値に与える影響の分析

図表 12 は非金融業の平均異常リターン ARt の推移を示している。図表 14 から非金融業においては、漏洩事故は事故の報道直後から株価に有意に負の影響を与え、その影
響は 5 営業日あたりまで続いていることがわかる。一方、図表 13 から金融業では事故報道
直後は株価に影響が現れないものの、第 4 営業日に有意な負の異常リターンが観察される。ただし、金融業ではそもそも異常リターンのボラティリティが高い可能性がある。そのため、この第 4 営業日にみられる負の異常リターンが、漏洩事故の直接的な影響か否かはこのデータだけからは判断しにくい。
図表1 4 	 業種別平均異常リターン
Time
-5
-4
-3
-2
-1
0
1
2
3
4
5
6
7
8
9
10

	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
 

業種
非金融業
0.00%
-0.34%-0.06%
0.36%
0.20%-0.69% **-0.52% *0.05%-0.32%-0.20%-0.47% *0.71% **
-0.26%
0.20%-0.02%
0.72% **

金融業
0.79%
0.02%
-0.69%
0.92%-0.37%-0.36%
0.12%
0.24%-0.16%-0.85% **-0.15%-0.29%
0.94%
0.07%-0.04%
0.48%

1%有意水準*** 5%有意水準** 10%有意水準*

図表 14 の業種別平均異常リターンの分析から金融業と非金融業では、漏洩事故の影
響は非金融業の方に強く現れている結果となっている。一般に個人や企業の資産情報を保有し、情報管理に高度な機密性を必要とされると考えられる金融業の方が、非金融業すなわち一般の事業会社よりも漏洩事故の影響が大きいと思われるにもかかわらず、平均異常リターンを見る限りはこの仮説は支持されない結果となった。
累積異常リターンも平均異常リターンと同様の傾向を示ししている。図表 15〜図表 17 は金融業、非金融業のイベント・ウィンドウにおける累積異常リターンの推移を示している。図表 15 から非金融業の累積異常リターンは事故報道後 5 営業日までほぼ一貫して低下しており、その後も 10 営業日後までマイナスとなっている。図表 17 からその値は統計的に事故の 5 営業日後までは有意となっている。一方、図表 16 から金融業では非金融業と比較し、漏洩事故の影響はすぐには現れていない。統計的に有意な値は事故後 5 営業日目までの累積異常リターンのみである。また、その値も非金融業に比べて小さく、漏洩事故の影
響も非金融業に比べて軽微である。	
 	
  情報セキュリティ総合科学	
  第 3 号	  2011 年 11 月

100

廣松毅：情報セキュリティ事故が企業価値に与える影響の分析

図表1 5 	 C A R(- 5 ,t)の推移（非金融業）

図表1 6 	 C AR (- 5 ,t)の推移（金融業）

1.5%

1.5%

1.0%

1.0%

0.5%

0.5%

0.0%

0.0%
-5 -4 -3 -2 -1 0 1

2

3

4

5

6

7

8

9 10

-5 -4 -3 -2 -1 0

-0.5%

-0.5%

-1.0%

-1.0%

-1.5%

-1.5%

-2.0%

-2.0%

-2.5%

-2.5%

1

2

3

4

5

6

7

8

9 10

1%有意水準*** 5

図表1 7 	 業種別累積異常リターン< T1 , T2 >

	
  	
  	
  	
  	
  	
  	
  	
  	
  	
  	
 
	
 

業種別 CAR(T1 ,T 2)< -5,-1 >< 0, +1 >< 0, +3 >< 0, +5 >< 0, +10 >

非金融業
0.16%
-1.21% ***-1.48% ***-2.15% ***-0.80%

金融業
0.67%-0.24%-0.16%-1.16% **-0.01%

1%有意水準***5%有意水準**10%有意水準*

3.4 時系列変化の分析	  個人情報保護法は 2003 年 5 月 23 日に成立し、2005 年 4 月 1 日から全面施行された。

1990 年代後半から 2000 年代前半にかけては、個人情報保護法だけでなく、不正アクセス禁止法等の情報セキュリティ関連の法律が成立、施行され、また企業においても ISMS
（Information Security Management System）への取り組みが本格化する等、情報セキュリテ
ィに関する意識が企業、消費者ともに高まった時期である。図表 18 は独立行政法人情報処理推進機構（IPA）が行った調査結果であり、インターネット利用時に個人情報の漏洩を不安に感じている人の割合を示している。
これから、個人情報保護法が施行されて間もない 2007 年は、インターネットショッピングや
インターネットバンキングの利用に際して個人情報の漏洩に関する不安を有する消費者が80%以上いたものの、2010 年にはこの割合が大きく低下していることがわかる。これらのサービスの利用が進むにつれて、安全性に対する認識が高まったためと考えられる。株価が投資家の総意である点を考慮すると、このような意識の変化が情報漏洩が株価に与える効
果にも何らかの影響を及ぼしている可能性がある。すなわち、時系列でみた場合に情報漏洩事故が株価に与える影響が変化してきていることが考えられる。そのため、本節では年別に時系列に情報漏洩事故が株価に与えた影響をみることにより、このような意識変化
による影響をみていく。
	  情報セキュリティ総合科学	
  第 3 号	  2011 年 11 月

101

廣松毅：情報セキュリティ事故が企業価値に与える影響の分析

図表1 8 	 インターネット利用時の不安要素
インターネットショッピング・
インターネットオークション
2007年
インターネットバンキング

インターネットショッピング
2010年

インターネットオークション
インターネットバンキング

0%

20%

40%

60%

80%

100%

「情報セキュリティに関する脅威に対する意識調査報告書(2007年度第2回」および「2010年度
情報セキュリティの脅威に対する意識調査報告書」（独立行政法人情報処理推進機構（IPA））より作成。なお、2007年度調査ではインターネットショッピングとインターネットオークションに関して、個別に意識調査を行っていない。

図表 19〜図表 22 は対象とした 47 事例を年別に 3 つのグループに分け、各々の平均
異常リターンをプロットしたものである。対象事例および企業数は 2006 年が 20 事例、20 社、2007 年が 17 事例、17 社、2008 年〜2009 年が 10 事例、10 社である。これから、2006 年、2007 年、2008 年〜2009 年の各年で傾向に違いがあることがわかる。2006 年（図表 19）と2007 年（図表 20）を比較すると、2006 年の方が 2007 年に比べて事故の影響が比較的大きく、かつ長く続いているように見受けられる。また、2008 年〜2009 年の間では（図表 21）、事故の影響パターンは 2007 年と類似しているが、その変動幅は大きくなっている。図表 22はその検定結果である。
本稿では株価を用いることからリーマンショックの影響をなるべく排除するため、2008 年
9 月から 2009 年 8 までの間の事例を対象としていない。しかしながら、2008 年以降は株価が大きく下落した時期であり、株価そのもののボラティリティが高まっていた。そのことがこのような違いを生じさせたものと解釈できる。 このように、2006 年とそれ以降の間の異常リターンの違いを解釈すると、個人情報保護法が施行されて間もなく、情報漏洩に関する不安意識が高い 2006 年に比べて、このような意識が薄まった 2008 年以降は、情報漏洩事故
が株価に与える影響がより短期的になったと考えられる。
このことを、累積異常リターンの変化からみていく。図表 23〜図表 25 は各年別のイベン
ト・ウィンドウにおける累積異常リターンの推移を示している。図表 23 から 2006 年は、漏洩事故の報道直後から株価に負の影響が生じ、その影響は 10 営業日まで続いていることがわかる。それに対して、2007 年（図表 24）になると負の影響はあるものの、その効果は 2006
年ほど長続きしていない。2008 年〜2009 年では（図表 25）、2006 年と同じく 10 営業日ま	  情報セキュリティ総合科学	
  第 3 号	  2011 年 11 月

102

廣松毅：情報セキュリティ事故が企業価値に与える影響の分析

で累積異常リターンはマイナスである。

図表1 9 AR tの推移（2 0 0 6 年）

図表2 0 A R tの推移（
2 0 0 7 年）

1.5%

1.5%

1.0%

1.0%

0.5%

0.5%

0.0%

0.0%
-5 -4 -3 -2 -1 0 1

2

3

4

5

6

7 8

-5 -4 -3 -2 -1 0

9 10

-0.5%

-0.5%

-1.0%

-1.0%

-1.5%

-1.5%

1

2

3

4

5

6

7

8

9 10

図表2 1 A R tの推移（2 0 0 8 年〜2 0 0 9 年）
1.5%
1.0%
0.5%
0.0%
-5 -4 -3 -2 -1 0

1

2 3 4

5

6

7 8

9 10

-0.5%
-1.0%
-1.5%

図表2 2 	 A R tの推移（
年別）
Time
-5
-4
-3
-2
-1
0
1
2
3
4
5
6
7
8
9
10

	
  	
  	
  	
  	
  	
  	
 

2006年
0.08%
-0.09%
0.05%
0.51%
0.14%
-0.67% *-0.55%-0.26%-0.26%
0.08%-0.33%
0.70%-0.36%-0.06%-0.03%
0.77%

2007年-0.02%
0.09%
0.02%
0.04%
0.20%
-0.39%-0.11%
0.32%-0.46% *-0.35%
0.00%
0.14%
0.36%
-0.22%
0.35%
0.96%

2008年〜2009年
1.06%-1.04%-1.33% **1.45%-0.54%-0.75%-0.19%
0.49%
0.05%-1.48% **-1.08% *
0.19%
0.67%
1.26%
-0.66%-0.13%

1%有意水準*** 5%有意水準** 10%有意水準*

	  情報セキュリティ総合科学	
  第 3 号	  2011 年 11 月

103

廣松毅：情報セキュリティ事故が企業価値に与える影響の分析

図表2 4 	 C AR (- 5 ,t)の推移（2 0 0 7 年）

図表2 3 	 C AR (- 5 ,t)の推移（2 0 0 6 年）
1.5%

1.5%

1.0%

1.0%

0.5%

0.5%

0.0%

0.0%

-0.5% -5 -4 -3 -2 -1 0

1 2

3

4 5

6 7

8 9 10-0.5% -5 -4 -3 -2 -1 0

-1.0%

-1.0%

-1.5%

-1.5%

-2.0%

-2.0%

-2.5%

-2.5%

-3.0%

-3.0%

-3.5%

-3.5%

1 2

3 4

5

6

7 8

9 10

図表2 5 	 C A R(- 5 ,t)の推移（2 0 0 8 年〜2 0 0 9 年）
1.5%
1.0%
0.5%
0.0%
-0.5% -5 -4 -3 -2 -1 0

1

2

3

4

5

6

7

8

9 10

-1.0%
-1.5%
-2.0%
-2.5%
-3.0%
-3.5%

図表 26 は、各年の累積異常リターンの検定結果を示している。これから 2006 年は漏洩事故以降、10 営業日までのマイナスの異常累積リターンがすべて有意となっている。一方、2007 年では 5 営業日までのマイナスの異常累積リターンの値が 2006 年より小さくなっており、かつ有意性は低下している。また、逆に 10 営業日目の累積異常リターンはプラスに転じている。2008 年〜2009 年の間では、有意な値は 5 営業日目のみとなっている。このことから、漏洩事故が株価に与える影響は年を進むにつれて減少していることがわかる。これは、2007 年以降、インターネットショッピング、インターネットバンキングの利用に際して情報漏洩に関する不安を有する消費者が減少してきているというデータと整合的な結果とである。すなわち、個人情報保護法が施行されて以来、インターネットを介した商行為が一般的になるに従い、個人情報保護に関する意識が次第に落ち着いたものに変わってきた事と軌を同一にしている、ということができる。	
 図表2 6 	 年別	 累積異常リターン< T1 , T2 >< -5,-1 >< 0, +1 >< 0, +3 >< 0, +5 >< 0, +10 >

	
  	
  	
  	
  	
 

2006年
0.68%
-1.21% ***-1.74% ***-1.99% ***-0.97% ***

2007年
0.33%
-0.50%-0.64% *-0.99% **0.60% **

2008年〜2009年-0.39%-0.95%-0.41%-2.96% ***-1.64%

1%有意水準*** 5%有意水準** 10%有意水準*

	  情報セキュリティ総合科学	
  第 3 号	  2011 年 11 月

104

廣松毅：情報セキュリティ事故が企業価値に与える影響の分析

4. まとめ	  本稿では、企業が情報セキュリティ対策の効果を、個人情報の漏洩事故が企業価値を毀損する負の効果を評価することにより分析を試みた。分析に際しては、イベント・スタディの手法を用い、漏洩事故の規模、業種、時系列変化といったいくつかの観点から漏洩事
故が株価に与える影響を分析することにより、漏洩事故が企業価値に与える負の効果を評価した。
その結果、2006 年から 2009 年にかけての事例の分析から漏洩事故のニュースは平均
的には少なくとも 5 営業日、すなわち 1 週間程度は株価に負の効果を与えることがわかった。そして、その効果は漏洩規模別にみた場合、規模が大きいほど影響は深く、長期にわたる傾向があることがわかった。金融業と非金融業の 2 つの業種グループ毎に影響を評価した結果、金融業の方が漏洩事故の影響が限定的であり、非金融業の方が漏洩事故の影響が大きく長期に続くという結果が得られた。また、時系列に分析を行った結果、個人情報保護法施行以降、時間を経るに従い漏洩事故が株価に与える負の効果が低減していることも確認することができた。
今後の課題は、2010 年以降の事例を含めたさらに細かい業種区分を用いた分析を行うことである。また、個人情報以外の機密情報の漏洩事故も対象としていきたい。

参考文献[1] 岡田克彦「日経 225 構成銘柄入れ替えにおける株価動向とトレーディングシミュレーション」『証券アナリストジャーナル Vol.42 No.2』2004 年 2 月[2] 坂野友昭、恩蔵直人「社名変更に対する株式市場の反応」『早稲田商学 Vol.357』1993 年 7月[3] 高籔 学,澤谷 拓郎,村田 晴紀「情報セキュリティ投資の企業価値に与える影響」『証券経済学会年報 Vol.45』2010 年[4] 畠田敬「自己株式取得による株価への効果」『日本大学 産業経営研究 Vol.27』2005 年[5] 藤村真太郎、酒井浩之、増山繁「企業業績要因文の経常的か否かに基づく分類とイベントス
タディ法に基づく分析」『人工知能学会第 23 回全国大会論文集』2009 年 6 月[6] 松尾浩之、山本 健「日本のＭ＆Ａ‐イベント・スタディによる実証研究‐」『日本政策投資銀
行設備投資研究所 経済経営研究 Vol.26 No.6』2006 年 3 月[7] 山崎福寿、井上綾子「特許法 35 条と職務発明制度についての理論と実証」『法と経済学研
究 Vol.3 No.1』2006 年 11 月

	  情報セキュリティ総合科学	
  第 3 号	  2011 年 11 月

105

廣松毅：情報セキュリティ事故が企業価値に与える影響の分析[8] J.Y.Ｃａｍｐｂｅｌｌ、A.W.Lo、A.C.Mackinlay, The Econometrics of Financial

Markets Princeton University Press、1997 年[9] Y.Konchitchki、D.E.O'Leary, “Event Study Methodologies in Information Systems
Research” International Journal of Accounting Information Systems
Vol.12、2011 年

	  情報セキュリティ総合科学	
  第 3 号	  2011 年 11 月

106