JP2018142284A - リスク算出装置、リスク算出装置を搭載するリスク判定装置及びリスク算出方法 - Google Patents

Abstract

【課題】企業がデータを流通させるか否か判断するために重要な事項であるデータ提供によるリスクについては十分に検討されていない。【解決手段】リスク算出装置は、データ提供者がデータ利用者にデータ提供を行う際のリスクを算出する装置であり、提供するデータとデータ提供者およびデータ提供者の顧客、データ利用者等の情報に基づいて、データ自体に関するリスク要素、データ利用者に関する要素及び、データ提供者とデータ利用者の関係性に関する要素を求めて、リスク指数を算出する。【選択図】図１

Description

本発明の実施形態は、企業が自社のデータを外部へ提供する際に生じるリスクを算出するリスク算出装置、リスク算出装置を搭載するリスク判定装置及びリスク算出方法に関する。

近年、ネットワーク通信の発達と拡張により、インターネットを介して相互に通信するＩｏＴ(Internet of Things)が急速な広がりを見せている。この広がりに伴い、ネットワークに接続する機器がさらに増大し、これらの機器の間で相当量のデータが流通することが推定される。

また、ネットワーク通信における企業間のデータ流通の方法として、例えば、１）自社のデータを外部に提供及び販売するデータホルダー型モデルと、２）複数のデータ提供者から集めた情報を分析し、その結果を販売するデータアグリゲーター型モデルと、３）データの提供者と利用者の間に入り、データの販売の仲介を行うデータマーケットプレイス型モデルと、４）前記データマーケットプレイス型モデルと同様にデータ提供者と利用者間の仲介を行うが、プライバシー・リスクのあるパーソナルデータを扱うパーソナルデータストア型モデルとの４つのモデルが知られている。

「実世界データ流通フレームワークにおけるデータ共有方式の提案」川端太一、高杉耕一他、電子情報通信学会 信学技報IEIC Technical Report IN2012-70(20122-9) 「２００９年 情報セキュリティインシデントに関する調査報告書」第1.1版NPO日本ネットワークセキュリティ協会 セキュリティ被害調査ワーキンググループ 2010年9月2日改訂

前述したデータ流通の方法・方式や、それを実現するための技術として、例えば、非特許文献１のようなデータ流通フレームワークにおけるデータ共有方式が提案されている。そして、データ流通を促進するためには、多数の企業による多くのデータ提供が必須であるが、企業はデータ提供を実施する際に、少なくとも「利益」と「損害」の影響を考慮しなければならない。これらのうち、「損害」においては、データ提供における可否の判断に対して、定量的に把握することが有効である。例えば、提供するデータにプライバシーの侵害リスクがあるか否か、データ提供により企業価値が損なわれないか否か等のリスクの算出は、企業がデータ提供を行うための可否の判断として重要な要素の１つと考えられる。

このように企業がデータを流通させるか否か判断するために重要な事項である「データ提供によるリスク」については、これまで十分に検討されていない。このような「データを他社に提供することにより被るリスク」を知るための包括的な評価軸が存在しなかったことがデータを保有する企業がデータ提供を行う際の障害となっていた。

そこで本発明は、データ提供の実施により発生するリスクを包括的に捉え、定量的に評価する枠組みを示すリスク算出装置、リスク算出装置を搭載するリスク判定装置及びリスク算出方法を提供することを目的とする。

上記目的を達成するために、（１）本発明に従う実施形態のリスク計算装置は、データ提供者が１以上のデータ利用者にデータを提供する際のリスクを算出するリスク計算装置であって、少なくともデータの種類及び属性により区分されたデータに対する機微度を含む、データ自体に関する第１リスク要素と、少なくともデータ利用者によるインシデントの発生危険度を含む、データ利用者に関する第２リスク要素と、及びデータを受け渡しするデータ提供者とデータ利用者の関係性に関する第３リスク要素と、を求めるパラメータ管理部と、前記第１リスク要素、第２リスク要素及び第３リスク要素を用いて、データ流通に伴う損害を被るリスクをリスク指数として算出するリスク計算部と、を有する。
（２）本発明に従う実施形態の前記リスク計算部では、損害賠償の支払いが発生する第１リスクと、企業秘密露呈による競争力が低下する第２リスクと、顧客離脱による逸失利益が発生する第３リスクを含む複数のリスクを前記リスク指数として算出する。

（３）本発明に従う実施形態の前記リスク計算部は、前記第１リスク要素をＣ１とし、前記第２リスク要素をＣ２とし、及び前記第３リスク要素をＣ３とし、前記第１リスクをＲ１とし、前記第２リスクをＲ２とし、前記第３リスクをＲ３とした際に、
の関数式を用いて、前記第１リスク、第２リスク及び第３リスクをそれぞれリスク指数として算出する。

（４）本発明に従う実施形態のリスク判定装置は、前記リスク計算装置と接続され、前記リスク計算装置のリスク計算部から出力される前記リスク指数に対して、予め定めた閾値と比較し、前記リスク指数が前記閾値未満となるデータ利用者に対して、前記データを選択的に提供することを判定する条件判定部と、前記条件判定部で選択された前記データ利用者にのみデータを提供する出力制御部と、で構成される。

（５）本発明に従う実施形態のリスク計算方法は、データ提供者が１以上のデータ利用者にデータを提供する際のリスクを算出するリスク計算方法であって、データ自体の種類及び属性を含むデータに対する機微度により区分されたデータ自体に関する第１リスク要素と、データ提供によりデータ利用者がインシデントの発生を起こすデータ利用者に関する第２リスク要素と、及びデータを受け渡しする二者間で発生するデータ提供者とデータ利用者の関係性に関する第３リスク要素と、を求め、前記第１リスク要素、前記第２リスク要素及び前記第３リスク要素を用いて、データ流通に伴う損害を被るリスクをリスク指数として算出する。
（６）本発明に従う実施形態の前記リスク計算では、損害賠償の支払いが発生する第１リスクと、企業秘密露呈による競争力が低下する第２リスクと、顧客離脱による逸失利益が発生する第３リスクを含む複数のリスクを前記リスク指数として算出する。

（７）本発明に従う実施形態のコンピュータで実行させるためのリスク計算装置の駆動用プログラムは、データ提供者が１以上のデータ利用者にデータを提供する際のリスクを算出するリスク計算装置の駆動用プログラムであって、少なくともデータの種類及び属性により区分されたデータに対する機微度を含む、データ自体に関する第１リスク要素と、少なくともデータ利用者によるインシデントの発生危険度を含む、データ利用者に関する第２リスク要素と、及びデータを受け渡しするデータ提供者とデータ利用者の関係性に関する第３リスク要素と、を求めるパラメータ管理と、前記第１リスク要素、第２リスク要素及び第３リスク要素を用いて、データ流通に伴う損害を被るリスクをリスク指数として算出するリスク計算と、をコンピュータで実行させる。

（８）本発明に従う実施形態のコンピュータで実行させるためのリスク計算の駆動用プログラムは、前記リスク計算では、損害賠償の支払いが発生する第１リスクと、企業秘密露呈による競争力が低下する第２リスクと、顧客離脱による逸失利益が発生する第３リスクとを前記リスク指数として算出する。

本発明の実施形態の（１），（２）リスク算出装置及び（５），（６）リスク算出方法により、データ提供の実施により発生するリスクを包括的にモデル化し、定量的なリスク算出の枠組みを実現できる。データ自身だけではなく、データ提供に関わるプレイヤーを整理し、且つデータの送受者間の関係性を反映させることで、データ提供時に企業が負うリスクが包括的に表現できる。よって、多面的な視点から企業が負う損害リスクを観察しながら、データ提供の可否を決定することができる。

（３）リスク計算部は、予め設定された関数式により、容易に第１リスク、第２リスク及び第３リスクをそれぞれリスク指数として算出することができる。また、関数式により、リスクが算出されるため、同じ条件下でいくつかのリスクが算出されるため、算出されたリスクの大きさを適正に比較することができる。

（３）リスク判定装置は、リスク計算部から算出されたリスク指数に対して予め設定された判定基準の閾値と比較して、閾値未満か否かを判定するため、データ利用者に対して適正な提供可又は提供不可を判断できる。

（７），（８）リスク計算装置をコンピュータで実行させるための駆動用プログラムを用いて、第１乃至第３リスク要素及び第１乃至第３リスクを演算出力させることができる。自動的にデータ提供の実施により発生するリスクを包括的にモデル化し、定量的なリスク算出の枠組みを実現できる。

図１は、本発明の一実施形態に係るリスク判定装置の概念的な構成を示す図である。 図２は、リスク判定装置の動作手順を説明するためのフローチャートである。 図３は、リスク計算部の中でパラメータからリスク指数を決定するステップを示した図である。 図４は、データ提供におけるデータの流れについて説明するための図である。 図５は、精神的苦痛レベルと経済的損失レベルの機微度区分をマトリクスで示す図である。 図６は、一次産業から三次産業のうちのＡ業種からＫ業種までの各企業が抱えるリスクを数値化した一例を示す図である。 図７は、データ通信を行う企業間の関係性を示す図である。 図８は、商品のカテゴリと購入チャネルの一例を示す図である。 図９は、データ提供者における重要度を決定するための区分を示す図である。 図１０は、消費者の購買履歴データの一例を示す図である。 図１１は、有価証券報告書の記載例を示す図である。 図１２は、リスク要素と損害額の関係を示す図である。 図１３は、計算例（１）に関するリスク算出結果を示す図である。 図１４は、扱うデータの管理情報区分の一例を示す図である。 図１５は、鉄道利用履歴データの一例を示す図である。 図１６は、有価証券報告書から関連事業の利益額を概念化的に示図である。 図１７は、パラメータ管理部に格納されるリスク要素と損害額の関係の一例を示す図である。 図１８は、計算例（２）に関するリスク算出結果を示す図である。

以下、図面を参照して本発明の実施形態について詳細に説明する。
図１は、本発明の一実施形態に係るリスク判定装置の概念的な構成を示す図である。
このリスク判定装置１は、主として、リスク算出装置２と条件判定装置３とで構成される。リスク算出装置２は、パラメータ管理部４とリスク計算部５を備えており、複数のパラメータから後述するリスク指数を算出する。パラメータ管理部４は、データ提供時のリスク計算に必要な種々のパラメータを格納する。リスク計算部５は、パラメータ管理部４で管理されているパラメータのうちから必要となるパラメータを呼び出してリスクを計算する。

また、条件判定装置３は、条件判定部６と出力制御部７を備えている。この条件判定装置３は、リスク算出装置２から出力されたリスク指数を入力し、条件判定を行い、データの提供を行う。条件判定部６では、リスク指数に対応した条件を入力とした条件判定を行う。また、出力制御部７では、後述する判定等を行い、条件判定部６の結果に基づくデータの提供先へデータを出力（送信）するように制御する。

ここで、本実施形態を説明するに当たり、比較のために既知なデータ提供時のリスク算出方法について説明する。第１に、データの種類ごとに定められた区分を用いた想定損害賠償金を算出する方法がある。この方法においては、データ提供におけるリスクを定量化する目的で作成されたものではない。第２に、個人に関するデータに対し、個人特定の危険性を定量化する方法がある。この方法は、リレーショナル型で格納されたデータに対し、個人特定可能な属性の組み合わせを効率的に探索する方法と、個人データの特定しやすさを定量化する方法とにより構成される。これらのリスク算出方法に対して、データに関する安全性について議論がされている。つまり、匿名化などのデータ加工による安全性とデータとしての有用性のトレードオフの関係を評価することである。

次に、図２に示すフローチャートを参照して、リスク判定装置１の大まかな動作手順について説明する。
まず、初期設定として、条件判定部６にリスク指数の値に対応する判定基準となる閾値を入力する（ステップＳ１）。次に、リスク算出に必要な後述する複数のパラメータを設定し、パラメータ管理部４に格納する（ステップＳ２）。その後、リスク計算部５において、パラメータ管理部４に格納されたパラメータを用いて、後述する３つのリスク要素Ｃ１，Ｃ２，Ｃ３を算出する（ステップＳ３）。その後、リスク計算部５において、上記リスク要素を用いてリスク指数を算出する（ステップＳ４）。次に、条件判定部６は、リスク計算部５から算出されたリスク指数に対して予め設定された判定基準の閾値と比較して、閾値未満か否かを判定する（ステップＳ５）。この範囲でリスク指数が閾値未満であれば（ＹＥＳ）、リスクが低い又はリスクが無いものと判定され、顧客のデータ利用者に対して、データを提供する（ステップＳ６）。一方、リスク指数が閾値以上であれば（ＹＥＳ）、リスクがあるものと判定して、データ利用者に対してデータを提供しない（ステップＳ７）。

次に、図３及び図４を参照して、リスク計算部５におけるリスク計算について説明する。
図３は、リスク計算部の中でパラメータからリスク指数を決定するステップの一例を示す図である。図４は、データ提供におけるデータの流れについて説明するための図である。

図３に示すように、リスク要素Ｃ１，Ｃ２，Ｃ３の算出に際してパラメータ群からパラメータが送られて演算され、算出されたリスク要素Ｃ１，Ｃ２，Ｃ３から損害リスクＲｉ（ｉ＝１，２，…）が算出される。

まず、データ流通に伴う損害を被るリスクを、以下のリスク要素Ｃ１、Ｃ２、Ｃ３を変数とする関数で定義する。ここで、データ提供に関わるプレイヤーを整理すると、図４に示すように、データ提供者となる企業をＡ、その顧客をａ、データ利用者（提供先）をＢとする。この３者が存在する元でデータ提供時のリスクを算出する。それぞれのリスク要素は、
Ｃ１：データ自体に関する項（第１リスク要素）
Ｃ２：データ利用者Ｂに関する項（第２リスク要素）
Ｃ３：データ提供者Ａとデータ利用者Ｂの関係性に関する項（第３リスク要素）
とする。

これらのリスク要素において、データ自体に関する項Ｃ１は、データ自体を表すもの、例えば、データの種類や属性、精度、粒度、希少度に依存する。データ利用者に関する項Ｃ２は、データ利用者の状態、例えば、セキュリティ対応状況や財務状況、株価状況、企業規模に依存する。データ提供者とデータ利用者の関係性に関する項Ｃ３は、２者間（又は、２社間）の関係性、例えば、業種の同異や従属関係に依存する。各リスク要素もまた複数のパラメータを用いて求められる関数として表される。各リスク要素を用いて任意数で設定される損害リスクを算出する。

本実施形態のリスク判定装置１によるリスク判定の一例について説明する。ここでのリスク要素Ｃの３項目を以下に仮定する。
Ｃ１：プレイヤーごとのデータ自体の重要度
Ｃ２：データ利用者のセキュリティレベル
Ｃ３：データ提供者とデータ利用者の業種の同異
上記のリスク指数Ｃを用いて、データ流通に伴う損害を被るリスクを求める。ここでは、１以上のリスクをリスク指数として定量値で求めている。具体的には、総合的な１つの値で求める、もしくは対処の優先度により分類（法的制限、契約内制限、暗黙の了解による制限、等）、または損害の積極度により分類を行って求めることが考えられる。以下では損害の積極度により３つに分類して求める例を示す。積極的損害とは、支払いが生じることであり、反対に消極的損害とは、得られるはずの利益が得られなくなることである。

Ｒ１：損害賠償の支払い発生リスク（第１リスク）
Ｒ２：企業秘密露呈による競争力低下リスク（第２リスク）
Ｒ３：顧客離脱による逸失利益発生リスク（第３リスク）
まず、Ｃ１:プレイヤーごとのデータ自体の重要度について述べる。図５に示す精神的苦痛レベルと経済的損失レベルの機微度区分を３段階のマトリクスで示している。勿論、この機微度区分は、一例であって、個人により各項目のレベルの大きさは異なっている。
図５に示すように、Ａ．経済的損失レベル（Ｙ軸）が１、精神的レベル（Ｘ軸）が１であるものは、氏名、生年月日、性別、住所、電話番号、身体情報（身長、体重、血液型、体力測定値）、婚姻、家族構成、金融機関、免許証番号、業種、職業、会社名、学校名、役職、社員番号、会員番号、住民票コード、健康保険証番号、年金証書番号、健康保険証情報、年金保険証情報、メールアドレス、ハンドル名等とする。また、Ｂ．経済的損失レベルが２、精神的レベルが１であるものは、パスポート情報、購入記録、ISPのアカウント＆パスポート、口座番号、クレジットカード番号、金融系Web際とのログインアカウント、印鑑登録証明書等とする。Ｃ．経済的損失レベルが３、精神的レベルが１であるものは、口座番号と暗証番号、クレジットカード番号とパスワード、金融系Webサイトのログインアカウントとパスワード等とする。

さらに、Ｄ．経済的損失レベルが１、精神的レベルが２であるものは、人種、民族、国籍、方言、学歴、職歴、賞罰、成績、趣味、特技、嗜好、病気に関する情報（健康診断結果、病歴、手術歴、妊娠歴、看護記録、その他身体検査記録、治療法）、障害に関する情報（身体障害情報、身体障害者手帳情報、知的障害情報）、生体認証情報（指紋、静脈、声紋、網膜、顔画像）、身体特徴（スリーサイズ）、心理テスト結果、性格判断診断結果、日記、メール内容等がある。Ｅ．経済的損失レベルが２、精神的レベルが２であるものは、収入・財産等に関する情報であり、年収・年収区分、資産（不動産：土地、動産：証券等）、借用残高、給与額、賞与額、納税額等である。Ｆ．経済的損失レベルが３、精神的レベルが２であるものは、例えば、遺言書等である。Ｇ．経済的損失レベルが１、精神的レベルが３であるものは、ハラスメント（パワーハラスメント、セクシャルハラスメント等）、信条、宗教、信仰、性癖、現在罹っている病気に関わる情報（病名、病状、保有感染症、カルテ）等である。Ｈ．経済的損失レベルが２、精神的レベルが３であるものは、ハラスメントによる失職又は転職情報、会社倒産による失業情報等である。Ｉ．経済的損失レベルが３、精神的レベルが３であるものは、反社会的な経歴（逮捕歴、前科前歴、暴力的な政治闘争）の情報、与信ブラックリスト等である。尚、これらの機微度区分は、限定されたものではなく、変更可能である。

以上の機微度区分において、例えば、氏名、住所、生年月日等が苦痛レベルと損失レベルが共にレベル１として、データ危険指数が低いレベルに設定されている。このレベル１は、頻繁に種々の書類やアンケート等に記入している事項であるため、低いレベルに設定されている。また、反対に、データ提供されると、その個人にとって最も高い精神的苦痛レベルと経済的損失レベルを与えるものとしては、例えば、犯罪歴や前科前歴などの反社会的な行動経歴がある。このような反社会的な経歴があると、対人関係に影響したり、雇用関係に人為的な制限が加わり、収入面においても経済的損失レベルは高い。特に、インターネットに情報公開されてしまうと、情報提供が長期に亘り公開されてしまうため、損失としても長期に亘ることとなり高いレベルに設定される。

また、企業にとってのデータ危険指数は、その企業においてもデータの重要さを示すものであるため、その企業が管理している情報区分を数字に置き換えて用いる。この情報区分を数字に置き換えることで使い勝手がよくなり、それぞれを数字に設定するだけで、把握しがたい種々の危険状態を平準的に用いることができる。

次に、Ｃ２：データ利用者のセキュリティレベルについて説明する。
データ提供者がデータを提供することによって増加する危険度を、≒データ利用者がインシデント（incident）を発生させる危険度（確率）≒データ利用者のセキュリティレベルと考える。データ利用者のセキュリティレベルは、情報セキュリティ対策ベンチマークのデータを利用する。尚、上記インシデントは、本実施形態においては、中断や阻害、損失、緊急事態、及び危機になり得るそれらを引き起こしうる状況を示唆するものとする。

図６は、例えば、一次産業から三次産業のうちのＡ業種からＫ業種までの各企業が抱える情報セキュリティに関するリスクを数値化した一例である。図６は、データ利用者の情報セキュリティレベルを表しており、値が高いほど情報漏洩などのインシデントが発生するリスクが高い業種であるとみなす。このリスクを数値化することで、企業間の比較が容易になる。

次に、Ｃ３：データ提供者とデータ利用者の業種の同異について説明する。
図７は、データ通信を行う企業間の関係性を示す図である。図７に示すように、Ａ業種からＥ業種までがネットワークにより接続されていた場合に、データを受け渡しする企業間の関係、特に業種の同異によって、リスクが変わると考えられる。同業種内、例えばＡ業種の企業Ａ１〜Ａ４の間でのデータ提供は、事業のノウハウや強みなど、競合に知られたくない情報が露呈する危険性がある。これに対し、異業種間でのデータ提供は、リスクが小さいと考えられる。例えば、ヘルスケア関係の企業が車に関するノウハウを知ったところで、活用するのはヘルスケア分野なため、データ提供者に不利益は生じにくい。

本実施形態では、業種の同異によって、各リスクの重み付けを行う。同業種間の場合、異業種間よりリスクが１．２倍になると仮定し、（異業種：１／同業種：１．２）のどちらかを選択する。
本実施形態におけるリスク指数は、その損害リスクが起こる危険度（確率）と想定損害額（規模）の積で表すものとする。

次に、Ｒ１：損害賠償の支払い発生リスクについて説明する。
損害賠償が発生する危険度（確率）と、想定される損害額の積で表す。（データ提供者の顧客への）損害賠償が発生する危険度（確率）は、顧客との契約違反が起こる危険度（確率）≒データ利用者がデータを漏洩させるなどのインシデント発生を起こす危険度（確率）≒データ利用者のセキュリティレベルを用いる。損害される損害額は、日本ネットワークセキュリティ協会が定めた既存の評価式（非特許文献２を参照）を拡張して用いる。顧客が企業である場合と個人である場合に場合わけされるが、どちらもデータの重要度に比例する値となる。

Ｒ２：企業秘密露呈による競争力低下リスクについて説明する。
企業秘密の露呈が発生する危険度（確率）と想定される損害額の積によって求められる。企業秘密の露呈が発生する危険度（確率）は、データを提供する時点で発生する場合、データが漏洩等した場合に分けられ、それらを足し合わせたもので定義する。これらは、データ提供者にとってのデータの重要度と、データ利用者のセキュリティレベルによって表す。想定される損害額は、有価証券報告書などの公開資料から、対象データに関わる事業の利益額を抜粋して用いることができると考える。

Ｒ３：顧客離脱による逸失利益発生リスクについて説明する。
顧客離脱により逸失利益が発生する危険度（確率）と想定される損害額の積によって求められる。（Ｒ３の求め方はＲ２と類似している。）顧客離脱が発生する危険度（確率）は、データを提供する時点で顧客離脱する場合（例えば、データを提供すること自体に顧客が不信感を持つような場合）と、データが漏洩した時点で顧客が離脱する場合に分けられ、それらを足し合わせたもので定義する。これらは、データ提供者の顧客にとってのデータの重要度と、データ利用者のセキュリティレベルによって表す。想定される損害額は、上記と同様に有価証券報告書などの公開資料から、対象データに関わる事業の利益額を抜粋して用いることができると考える。

本実施形態はデータ提供時のリスクを、上記の３つに分類して算出する。算出例には、以下の計算式を用いる。

尚、ｋ_1、ｋ₂： データを提供した時点で損害が生じる危険性と、データが漏洩した時点で損害が生じる危険性の比であり、｛（漏洩による損害発生確率）／（データ提供を実施すること自体による損害発生確率）｝で表される。

g：機微度区分や情報区分から求められる情報危険度であり、個人情報の場合はMax(10^x-1+5^y-1)で表わされ、それ以外はMax(10^x-1)で表される。

以上のように定義した場合に、各Ｒ１、Ｒ２、Ｒ３はＣ１、Ｃ２、Ｃ３を変数とする関数で表現される。以下に、上記のＲ１〜Ｒ３、Ｃ１〜Ｃ３の計算例について説明する。こように関数式により、リスクが算出されるため、同じ条件下でいくつかのリスクが算出されるため、算出されたリスクの大きさを適正に比較することができる。

計算例（１）：消費者の購買履歴データの提供を検討する場合
実存する企業が保有するデータについて、その企業が他社にデータを提供する時に生じるリスク指数を算出した例について説明する。

図８は、株式会社Ｍの商品のカテゴリと購入チャネルの一例を示している。
消費者自身が購入した商品のバーコードを専用アプリでスキャンすることでデータを取得しており、「購入者の属性情報」「スキャン日時」「購入先」「商品ＪＡＮコード」「購入個数」などが含まれる。この株式会社Ｍが所有しているデータを、他社に提供する場合を例にとって、リスクを算出する。

ここでは、提供先（データ利用者Ｂ）として、１．不動産Ｂ１社／２．製造業Ｂ２社／３．卸業Ｂ３社の３社への提供を考える。各リスク要素Ｃ１〜Ｃ３について記述したのち、それらをＲ１〜Ｒ３の式に当てはめたリスクの算出について詳細に説明する。
まず、リスク要素Ｃ１（プレイヤーごとのデータ自体の重要度）について説明する。
図９に示すように、データ提供者Ａにとっての重要度Ｃ１１（ｘ）は、扱うデータがＡ社のどの管理情報区分に属するかによって決定する。元々外部に販売用のデータとして収集しているため、管理区分のレベルは低いと考えられる。この例では、Ｃ１１を０.１に設定する。

データ提供者の顧客ａにおける重要度Ｃ１２（ｘ，ｙ）は、扱うデータが顧客（本実施形態の場合は個人）にとって、どの程度、重要であるかを表す。前述した図５には、データの種類ごとに経済的損失レベル、精神的苦痛レベルのマトリクス（２軸の展開）で、個人にとっての重要度（＝機微度）を定めている。

図１０は、消費者の購買履歴データの一例を示す図である。
購買履歴データが本実施形態で取り扱うデータの種類であるとして、図５に示すマトリクス図を参照して、これらのデータの機微度を求める。このうち、最もｘとｙが大きくなる値をＣ１２として採用する。ここでは、
居住エリア／性別／年代／未既婚／単身・同居
＝[精神的苦痛レベルｘ＝１、経済的損失レベルｙ＝１]、
購入場所／商品カテゴリー/購入チャネル
＝[精神的苦痛レベルｘ＝１、経済的損失レベルｙ＝２]、日時＝[個人情報以外]
Ｃ１２→ＭＡＸ（ｘ, ｙ）＝（１, ２）
リスク要素Ｃ２（データ利用者のセキュリティレベル）について説明する。
ここでは、図６に示すＣ，Ｇ，Ｉを例えば、製造業Ｃ、卸業Ｇ、不動産業Ｉとして、それぞれに属しているデータ利用者のセキュリティレベルについて説明する。ここでは、各業種のスコアの平均値を用いる。値は、０〜１４０を０〜１に正規化して用いる。図６においては、値が高いほどセキュリティ対策が施されていることを示し、セキュリティ危険度として、１からその値を引いた値を用いる。

Ｃ２１→製造業Ｃ：１−０.６２＝０.３８
Ｃ２２→卸業Ｇ：１−０.５３＝０.４７
Ｃ２３→不動産業Ｉ：１−０.６０＝０.４０
次に、リスク要素Ｃ３（データ提供者とデータ利用者の業種の同異）について説明する。ここでは、異業種：１／同業種：１．２と設定する。

このケースにおいては、データ提供者Ａと利用者Ｂ１，Ｂ２，Ｂ３は異業種であるため、Ｃ３→１となる。
その他、想定損害額Ｎについて説明する。ここでの説明においては、非特許文献２に記載される事項を参考にして用いている。

ｆ（Ｃ_１２）：顧客ａが企業＝基礎情報価値[500]×情報危険度[Max(10^x-1)]
Ｃ_１２=x ×情報漏洩元組織の社会的責任度[2,1]
尚、情報危険度Max(10^x-1)はｇ（Ｃ_１２）である。

ｆ（Ｃ_１２）：顧客ａが個人＝基礎情報価値[500]×情報危険度[Max(10^x-1+5^y-1)]
Ｃ_１２=(x,y) ×本人特定容易度[6,3,1] ×情報漏洩元組織の社会的責任度[2,1] 尚、情報危険度Max(10^x-1+5^y-1)はｇ（Ｃ_１２）である。
損害賠償額＝基礎情報価値[500]×情報危険度[Max(10^x-1+5^y-1)]
×本人特定容易度[6,3,1] ×情報漏洩元組織の社会的責任度[2,1] ×事後対応評価[2,1]
[Ｒ１の想定損害額]Ｎ１＝ｆ(Ｃ_１２)
ｆ(Ｃ_１２(x, y)=(1, 2))＝500×(10^0＋5^1)×1×1=3,000円
この額は、情報が漏洩したときの、顧客１人あたりの想定される損害賠償支払いとなる３千円である。本実施形態の購買履歴のデータを提供している顧客は３万人とすれば、
損害額Ｎ１＝３，０００×３０，０００→９千万円となる。

[Ｒ２, Ｒ３の想定損害額]Ｎ２
図１１に示す有価証券報告書の記載例を参照して説明する。図１１に示す（うち当期純利益）Ｎ２→ １，２３４（千円）と仮定する。

図１２は、前述したリスク要素Ｃ１、Ｃ２、Ｃ３と、損害額Ｎ１、Ｎ２が格納されるパラメータ管理部のテーブルを示している。
上記パラメータを用いてリスク指数Ｒ１、Ｒ２、Ｒ３を求める。リスク指数は、その損害リスクが起こる危険度（確率）と想定損害額（規模）の積をベースに、想定される損害の期待値（額）に比例した値で示している。ここでは、危険度と損害額の積を１００万で割った値をリスク指数[単位無]とする。

但し、リスク指数Ｒ１：損害賠償の支払い発生リスクとする。

損害額Ｎが起こる危険度（確率）Ｃ２について説明する。
損害賠償が発生する危険度を、データ提供によって増加するインシデント発生の危険度として、リスク要素Ｃ２（データ利用者のセキュリティレベル）を用いる。
本実施形態では、３社それぞれのリスク要素Ｃ２１，２２，２３は、損害の「発生確率」に比例する値であると想定する。
損害賠償の想定損害額（規模）Ｎ１は、Ｎ１＝ｆ(Ｃ１２)＝９千万円であり、Ｃ２１〜２３の値×想定損害額／百万とすると、Ｒ１ → 製造業：３４.２ 卸業：４２.３ 不動産業：３６.０となる。

但し、リスク指数Ｒ２：企業秘密露呈による競争力低下リスクとする。

（第１項：提供実施による損害発生危険度）＋（第２項：漏洩による損害発生危険度）
尚、ｋ_１の値は、（漏洩による損害発生確率）／（データ提供を実施すること自体による損害発生確率）とする。
データを提供した時点で秘密が露呈する危険性があり、これが第１項にあたる。また、データが漏洩した場合には、さらに秘密露呈の危険性は高まり、これが第２項にあたる。データを提供した時点よりも、データが漏洩したとき危険性が大きく増すと考えられる。

本実施形態では、データ提供時と比較し、データ漏洩時の秘密露呈の確率が５倍に高まると想定し、ｋ_１＝５に設定している。

秘密露呈による想定損害額（規模）Ｎ２は、その事業の最終的な売上利益に影響すると考えて ＝８０,８２７（千円）とする。図１２参照。

（提供による危険度＋漏洩による危険度）×想定損害額／百万とすると、Ｒ２→製造業：３.９１ 卸業：４.５１ 不動産業：４.０４となる。図１３参照

但し、リスク指数Ｒ３：顧客離脱による逸失利益発生リスクとする。

（第１項：提供実施による損害発生危険度）＋（第２項：漏洩による損害発生危険度）
尚、ｋ_２の値は、（漏洩による損害発生確率）／（データ提供を実施すること自体による損害発生確率）とする。
データを提供した時点で顧客が離脱する危険性があり（顧客が不信感を感じるなど）、これが第１項にあたる。データが漏洩した場合には、さらに顧客離脱の危険性は高まる。これが第２項にあたる。
顧客離脱の危険性については、(Ｒ２の)秘密露呈の危険性よりも、データを提供した時点での危険性が高いと考えられる。本実施例では、データ提供時と比較しデータ漏洩時の顧客離脱の確率は２倍程度であると仮定し、ｋ_２＝２とする。

逸失利益の想定額（規模）Ｎ２は、その事業の売上利益（顧客から得られる利益）＝８０,８２７（千円）とする。
（提供による危険度＋漏洩による危険度）×想定損害額／百万とすると、Ｒ３→製造業：２．２８ 卸業：２．５１ 不動産業：２．３８とする。

図１３は、計算例（１）に関して、上述したリスク算出結果をまとめて示している。
過去のデータ提供事例において、それぞれリスクを算出し、その値と本実施形態における値を比較することで、本実施形態のデータ提供が過去の事例と比較して安全であるか危険であるかを判断することができる。

例えば、各リスクＲ１〜Ｒ３について、過去安全に取引できた事例の平均値がＲ１＝５０、Ｒ２＝５、Ｒ３＝５であるとすると、本実施形態のリスク指数は全て下回るため、テータ提供は、「比較的安全である」と判断できる。
また、本実施形態で想定した提供先の３社を比較すると、特に卸業Ｂ２については他の企業よりもリスク指数が高いことから、取引には注意が必要であるといえる。

次に、計算例（２）：鉄道利用履歴データの提供を行った事例について説明する。
他社にデータを提供した事例であって、本実施形態のリスク算出方法を用いて、データ提供時に生じるリスク指数を求めた例について説明する。鉄道会社が自社の鉄道利用履歴データを他社への提供した際に、顧客から批判を受けるリスクの算出例について説明する。以下、各リスク要素Ｃ１〜Ｃ３について説明したのち、それらをＲ１〜Ｒ３の式に当てはめてリスクを算出する様子について説明する。

次に、リスク要素Ｃ１（プレイヤーごとのデータ自体の重要度）について説明する。
図１４は、扱うデータの管理情報区分の一例を示す図である。図１５は、鉄道利用履歴データの一例を示す図である。
データ提供者Ａにおける重要度Ｃ１１(x)は、扱うデータがどの管理情報区分に属するかによって決定する。ここでは、元々、顧客の個人情報として保管されていたデータであるため、管理区分のレベルは、Ｃ１１を社外秘０.２とする。

データ提供者の顧客ａにおける重要度Ｃ１２(x, y)は、扱うデータが顧客（本実施形態の場合は個人）にとって、どの程度、重要であるかを表す。前述した図５に示したデータの種類ごとに経済的損失レベル及び精神的苦痛レベルのマトリクスで、個人における重要度（＝機微度）を定めた。図１５に示す取り扱うデータに対して、図５を参照して、本実施形態で取り扱うデータの機微度を求める。このうち、最も「ｘ」と「ｙ」が大きくなる値をＣ１２として採用する。

利用日時/生年月/性別 ＝[精神的苦痛レベルｘ＝１、経済的損失レベルｙ＝１]
乗降駅 ＝[精神的苦痛レベルｘ＝２、経済的損失レベルｙ＝１]
識別番号、利用額 ＝[個人情報以外]
よって、Ｃ１２→ＭＡＸ（ｘ, ｙ）＝（２, １）となる。

また、リスク要素Ｃ２（データ利用者のセキュリティレベル）について説明する。鉄道利用履歴データは、製造業Ｃの企業へのデータ提供を行っていたものとする。ここでは、業種の平均値を用いる。図６を参照してリスク要素Ｃ２を求める。よって、リスク要素Ｃ２１→製造業：１−０.６２＝０.３８となる。

リスク要素Ｃ３（データ提供者とデータ利用者の業種の同異）について説明する。ここでは、異業種：１／同業種：１．２とする。
本実施形態では、データ提供者Ａと利用者Ｂは異業種であるからＣ３→１とする。
想定損害額について説明する。ここでの説明においては、非特許文献２に記載される事項を参照する。

ｆ（Ｃ_１２）：顧客ａが企業＝基礎情報価値[500]×情報危険度[Max(10^x-1)]
Ｃ_１２=x ×情報漏洩元組織の社会的責任度[2,1]
尚、情報危険度Max(10^x-1)はｇ（Ｃ_１２）である。
ｆ（Ｃ_１２）：顧客ａが個人＝基礎情報価値[500]×情報危険度[Max(10^x-1+5^y-1)]
Ｃ_１２=(x,y) ×本人特定容易度[6,3,1] ×情報漏洩元組織の社会的責任度[2,1] 尚、情報危険度Max(10^x-1+5^y-1)はｇ（Ｃ_１２）である。
損害賠償額＝基礎情報価値[500]×情報危険度[Max(10^x-1+5^y-1)]
×本人特定容易度[6,3,1] ×情報漏洩元組織の社会的責任度[2,1] ×事後対応評価[2,1]
[Ｒ１の想定損害額]Ｎ１＝ｆ(Ｃ_１２)
ｆ(Ｃ_１２(x, y)=(2,1))＝500×(10^1＋5^0)×1×1=5,500円
この値は、情報が漏洩したときの、顧客１人あたりの想定される損害賠償支払いの額である。本実施形態の購買履歴のデータを提供している顧客は約４００万人であるので、Ｎ１＝５,５００×４，０００,０００ →２，２００（百万円）となる。

[Ｒ２, Ｒ３の想定損害額]Ｎ２について説明する。
図１６は、有価証券報告書から関連事業の利益額を概念化的に示している。仮に、Ｎ２→ ２６,７３０（千円）とする。
図１７は、パラメータ管理部に格納される上記のリスク要素Ｃ１、Ｃ２、Ｃ３と、Ｎ１、Ｎ２の値の一例を示す図である。図１８は、計算例（２）に関するリスク算出結果を示す図である。

図１７に記載されるパラメータを用いてリスク指数Ｒ１、Ｒ２、Ｒ３を求める。リスク指数は、その損害リスクが起こる危険度（確率）と想定損害額（規模）の積をベースに、想定される損害の期待値（額）に比例した値で表す。本実施形態は、危険度と損害額の積を百万で割った値をリスク指数[単位無]とする。

但し、リスク指数Ｒ１：損害賠償の支払い発生リスクとする。

その損害が起こる危険度（確率）Ｃ２は、損害賠償が発生する危険度を、データ提供によって増加するインシデント発生の危険度として、リスク要素Ｃ２（データ利用者のセキュリティレベル）を用いる。
損害賠償の想定損害額（規模）Ｎ１について説明する。
ｆ(Ｃ１２)＝２,２００（百万円）
但し、リスク要素Ｃ２の値×想定損害額／百万とする。

よって、Ｒ１→８３６となる。

但し、リスク指数Ｒ２：企業秘密露呈による競争力低下リスクとする。

（第１項：提供実施による損害発生危険度）＋（第２項：漏洩による損害発生危険度）
但し、ｋ１の値は、（漏洩による損害発生確率）／（データ提供を実施すること自体による損害発生確率）である。データを提供した時点で秘密が露呈する危険性があり、これが第１項にあたる。データが漏洩した場合には、さらに秘密露呈の危険性は高まる。これが第２項にあたる。データを提供した時点よりも、データが漏洩したとき危険性が大きく増すと考えられる。本実施形態はデータ提供時と比較しデータ漏洩時の秘密露呈の確率が５倍に高まると仮定し、ｋ１＝５とする。

秘密露呈による想定損害額（規模）Ｎ２について説明する。
その事業の最終的な売上利益に影響すると考えて ＝２６,７３０（千円）
（提供による危険度＋漏洩による危険度）×想定損害額／百万とする。
よって、Ｒ２→２．５８となる。

但し、リスク指数Ｒ３：顧客離脱による逸失利益発生リスクとする。

（第１項：提供実施による損害発生危険度）＋（第２項：漏洩による損害発生危険度）
但し、ｋ２の値は、（漏洩による損害発生確率）／（データ提供を実施すること自体による損害発生確率）である。データを提供した時点で顧客が離脱する危険性があり（顧客が不信感を感じるなど）、これが第１項にあたる。データが漏洩した場合には、さらに顧客離脱の危険性は高まる。これが第２項にあたる。顧客離脱の危険性については、(Ｒ２の)秘密露呈の危険性よりも、データを提供した時点での危険性が高いと考えられる。
本実施形態は、データ提供時と比較し、データ漏洩時の顧客離脱の確率が２倍程度であると仮定し、ｋ２＝２とする。

逸失利益の想定額（規模）Ｎ２について説明する。

事業の売上利益（顧客から得られる利益）＝２６,７３０（千円）とする。
但し、（提供による危険度＋漏洩による危険度）×想定損害額／百万とする。従って、Ｒ３→１.３８とする。

以上のように、過去のデータ提供事例において、それぞれリスクを算出し、その値と本実施形態の値を比較することで、本実施形態のデータ提供が過去の事例と比較して安全であるか危険であるかを判断することができる。例えば、各リスクＲ１〜Ｒ３について、過去安全に取引できた事例の平均値がＲ１＝５０、Ｒ２＝５、Ｒ３＝５であるとすると、この件はＲ１が平均値より大きく上回っていることが分かる。このことから、顧客への賠償支払いが大きい≒顧客が被る損害(経済的、精神的な損害)の期待値が大きいので、その点に充分に注意して取引をしなければならない、と判断できる。

この実事例は、漏洩等のインシデントを起こした事例ではないが、顧客から大きく批判を受けている。この批判の発生は、顧客への説明不足に起因していた。
本実施形態のリスク計算装置２は、コンピュータで実行させるための駆動用プログラムを用いて前述した第１乃至第３リスク要素及び第１乃至第３リスクを演算出力させることができる。
コンピュータの記憶媒体に、図３に示すパラメータ群、図５に示す機微度区分、その他各種情報及び前述した数式を記憶させておき、オペレータがデータ利用者における設定情報や条件を入力することで演算出力を行い、自動でリスクを算出できる。また、データ提供においても、リスクの判断結果に基づき、該当するデータ使用者に自動で送信することができる。

次に、リスク判定装置の構成例について説明する。
本実施形態に係るリスク判定装置１は、出力制御部７の形態を変えることでリスク判定に応じて、さまざまな動作をさせることが可能である。

［構成例１］
条件判定部６は、リスク指数をそのまま出力制御部７へ出力する。
出力制御部７は、データ提供者にリスク指数の結果をそのまま発信する。これは、データの粒度を変更させたときのリスク指数を観察することで、適切なデータの重要度を保った提供が可能になる。

［構成例２］
条件判定部６は、リスク指数を閾値で判定する。これは、複数の企業（又は、データ利用者）への提供を検討している場合には、閾値未満→提供可／閾値以上→提供不可の判断により、データ提供先となる企業（又は、データ利用者）の選択を行う。
出力制御部７は、アクセス先（提供先）を制御して、提供可と判断された企業（又は、データ利用者）にのみデータの転送を行う。

［構成例３］
条件判定部６は、リスク指数を閾値で判定する。これは、データの種類や開示度を複数のパターンで入力して、適切なリスク範囲の中で最も情報を開示できるデータを選択する。
出力制御部７は、アクセス先を制御して、あるリスク指数未満のデータセットのみ転送を行う。

以上説明した本実施形態のリスク算出装置及びリスク算出方法は、データ提供の実施により発生するリスクを包括的にモデル化し、定量的なリスク算出の枠組みを実現できる。データ自身だけではなく、データ提供に関わるプレイヤーを整理し、且つデータの送受者間の関係性を反映させることで、データ提供時に企業が負うリスクが包括的に表現できる。よって、多面的な視点から企業が負う損害リスクを観察しながら、データ提供の可否を決定することができる。

１…リスク判定装置、２…リスク算出装置、３…条件判定装置、４…パラメータ管理部、５…リスク計算部、６…条件判定部、７…出力制御部。

Claims (8)

1. データ提供者が１以上のデータ利用者にデータを提供する際のリスクを算出するリスク計算装置であって、
   少なくともデータの種類及び属性により区分されたデータに対する機微度を含む、データ自体に関する第１リスク要素と、少なくともデータ利用者によるインシデントの発生危険度を含む、データ利用者に関する第２リスク要素と、及びデータを受け渡しするデータ提供者とデータ利用者の関係性に関する第３リスク要素と、を求めるパラメータ管理部と、
   前記第１リスク要素、第２リスク要素及び第３リスク要素を用いて、データ流通に伴う損害を被るリスクをリスク指数として算出するリスク計算部と、
   を有するリスク計算装置。
2. 前記リスク計算部では、損害賠償の支払いが発生する第１リスクと、企業秘密露呈による競争力が低下する第２リスクと、顧客離脱による逸失利益が発生する第３リスクを含む複数のリスクを前記リスク指数として算出する、請求項１に記載のリスク計算装置。
3. 前記リスク計算部は、
   前記第１リスク要素をＣ１とし、前記第２リスク要素をＣ２とし、及び前記第３リスク要素をＣ３とし、前記第１リスクをＲ１とし、前記第２リスクをＲ２とし、前記第３リスクをＲ３とした際に、
   の関数式を用いて、前記第１リスク、前記第２リスク及び前記第３リスクをそれぞれリスク指数として算出する、請求項２に記載のリスク計算装置。
4. 請求項１乃至３のいずれか１つに記載の前記リスク計算装置と接続され、
   前記リスク計算装置の前記リスク計算部から出力されるリスク指数に対して、予め定めた閾値と比較し、前記リスク指数が予め定めた閾値未満となるデータ利用者に対して、前記データを選択的に提供することを判定する条件判定部と、
   前記条件判定部で選択された前記データ利用者にのみデータを提供する出力制御部と、を有する条件判定装置と、で構成されるリスク判定装置。
5. データ提供者が１以上のデータ利用者にデータを提供する際のリスクを算出するリスク計算方法であって、
   データ自体の種類及び属性を含むデータに対する機微度により区分されたデータ自体に関する第１リスク要素と、データ提供によりデータ利用者がインシデントの発生を起こすデータ利用者に関する第２リスク要素と、及びデータを受け渡しする二者間で発生するデータ提供者とデータ利用者の関係性に関する第３リスク要素と、を求め、
   前記第１リスク要素、前記第２リスク要素及び前記第３リスク要素を用いて、データ流通に伴う損害を被るリスクをリスク指数として算出する、リスク計算方法。
6. 前記リスクの計算では、損害賠償の支払いが発生する第１リスクと、企業秘密露呈による競争力が低下する第２リスクと、顧客離脱による逸失利益が発生する第３リスクを含む複数のリスクを前記リスク指数として算出する、請求項５に記載のリスク計算方法。
7. データ提供者が１以上のデータ利用者にデータを提供する際のリスクを算出するリスク計算装置の駆動用プログラムであって、
   少なくともデータの種類及び属性により区分されたデータに対する機微度を含む、データ自体に関する第１リスク要素と、少なくともデータ利用者によるインシデントの発生危険度を含む、データ利用者に関する第２リスク要素と、及びデータを受け渡しするデータ提供者とデータ利用者の関係性に関する第３リスク要素と、を求めるパラメータ管理と、
   前記第１リスク要素、第２リスク要素及び第３リスク要素を用いて、データ流通に伴う損害を被るリスクをリスク指数として算出するリスク計算と、
   をコンピュータで実行させるための請求項１に記載のリスク計算装置の駆動用プログラム。
8. 前記リスク計算では、損害賠償の支払いが発生する第１リスクと、企業秘密露呈による競争力が低下する第２リスクと、顧客離脱による逸失利益が発生する第３リスクとを前記リスク指数として算出することを、コンピュータで実行させるための請求項７に記載のリスク計算装置の駆動用プログラム。