個人情報流出の深刻度と、
企業の誠実度スコア

METHOD

rule評価の方法

深刻度（0〜100）

漏れた情報の種類ごとに、悪用のされやすさと回復の困難さにもとづく重みを定めています（例：クレジットカード番号やパスワードは重く、氏名単体は軽く）。暗号化・ハッシュ化されていた情報は重みを減じます。これに件数の規模（対数）と、実際の不正利用が確認されているかを掛け合わせ、0〜100に正規化したものを深刻度としています。

点数の理由が分かるよう、次の2つの要素を併記しています。

• 1人あたりの危険度　漏れた情報の組み合わせによる5段階（低い／中程度／高い／非常に高い／極めて高い）。クレジットカード番号・マイナンバー・パスワード・本人確認書類・口座情報が平文で漏れた場合は「非常に高い」以上
• 規模　対象件数による5段階（小：1万件未満／中：10万件未満／大：100万件未満／特大：1,000万件未満／超特大：1,000万件以上）

誠実度スコア（A〜E）

公表後の対応を次の5つの観点（各20点・計100点）で評価します。各観点は具体的な対応に分けて配点し、事案のページには満たした対応ごとに公式発表の該当箇所を引用しています。

• 公表の速さ　発覚から公表までの日数（3日以内20点、7日以内16点、14日以内12点、30日以内8点、60日以内4点）
• 説明の具体性　対象件数・漏れた情報の項目・原因（侵入経路や手口）・発覚日を示したか
• 被害者対応　個別の連絡、専用の問い合わせ先、二次被害への注意喚起、被害を防ぐ具体的措置、補償
• 再発防止　封じ込めの実施と、具体的な再発防止策
• 透明性の継続　個人情報保護委員会等への報告、続報、調査完了と影響範囲の確定

「途中評価」と「確定」について

第1報の時点では、調査完了や続報など、まだ示せない対応があります。これを「対応なし」と扱うと早く公表した組織ほど低い評価になるため、確定までは途中評価を示します。途中評価は、調査完了・続報を除いた対応（第1報の時点でも示せるもの）のうち何割を満たしたかの達成率で、確定と同じ基準（85%以上A、70%以上B、55%以上C、40%以上D）で文字を付けます。補償や再発防止策など後から示されることもある対応は、まだ示していなければ途中評価では満たしていない扱いですが、確定までに示されれば加点されます。漏れた情報の項目が未確認の事案など、文字を付けるだけの情報がないものは「評価中」とします。

評価は、最終報告が出た時点、または個人情報保護委員会への確報の期限（不正アクセス等の不正目的の事案は把握から60日、それ以外は30日）を過ぎた時点で、100点満点の点数で確定します。その時点で示されていない対応は0点になるため、確定評価は途中評価から上下することがあります。散布図では途中評価の事案を白抜きの点で示しています。

評価は公開情報にもとづく機械的な整理です。公表内容の精査が進めば評価は変わり得ます。正確な内容は各組織の公式発表をご確認ください。