用語集・凡例¶

初学者向けに、本教材で使う用語をやさしく説明します。各ページで分からない言葉が出たら、ここに戻ってください。

制度の用語¶

個人情報: 特定の個人を識別できる情報（氏名・生年月日など、他の情報と照合して識別できるものを含む）。
仮名加工情報: 他の情報と照合しない限り特定の個人を識別できないように加工した情報。個人単位の分析は残せるのが特徴。本教材の case01 が対象。
匿名加工情報: 特定の個人を識別できず、かつ元に戻せないように加工した情報。仮名加工情報より加工の基準が厳しい。case02 が対象。
個人識別符号: それ単体で特定の個人を識別できる、法律で定められた符号（例: マイナンバー、指紋データ）。匿名加工では削除する（本教材の事例には含まれません）。
識別行為の禁止（識別禁止義務）: 仮名加工情報を、作成元の個人情報と照合して本人を特定してはいけない、という義務。
本人到達性: その情報を使って本人に連絡・到達できる性質（例: メールアドレス・電話番号）。

直接識別子: それ単体で個人を特定できる項目（例: 氏名）。
準識別子: 単体では特定できないが、組み合わせると特定につながりうる項目（例: 生年月日＋性別＋住所）。
機微度: 本人が特定された場合のプライバシー上の影響の大きさ。本教材の加工設計を考えるための補助的な指標であり、法令上の「要配慮個人情報」とは別の概念です。
結合キー: 複数のテーブルや履歴を突き合わせる（結合する）ために使う項目（本教材では会員ID／整理番号）。
連結符号: 加工後データを元データにつなぎ直せてしまう符号（例: 元の会員ID）。匿名加工では削除・置換します（case02）。
特異な記述: 珍しくて少数の人しか当てはまらない値（例: 超高齢、限定品の購入、極端な数量・金額）。組み合わせで個人が浮きやすいため、丸めたり削除します（case02）。

再識別: 仮名化・匿名化したはずのデータから、元の個人を言い当てること。case03 は「弱い仮名化」が再識別される例。
ハッシュ関数: 入力から決まった値（ハッシュ値）を出す関数（例: SHA-256）。同じ入力からは必ず同じ値が出る。ハッシュから入力を逆算する式は無いが、入力の候補を総当りして一致を探せば元の入力を言い当てられる。
エントロピー: 値の取りうるパターンの多さ（不確かさ）。低エントロピー＝候補が少ない＝総当りで当てやすい。IDの形式が公知だと候補が絞られ低エントロピーになる。
総当り攻撃（ブルートフォース）／辞書攻撃: 取りうる入力を片端から計算し、一致を探す攻撃。候補が少ないほど短時間で終わる。
レインボーテーブル: あらかじめ「入力 → ハッシュ」を計算しておく対応表。ソルトが無いと、この事前計算表で一気に逆引きできる。
ソルト: ハッシュ前に各値へ足すランダム値。同じ入力でも出力がばらけ、レインボーテーブルを無効化する。
HMAC（秘密鍵つきハッシュ）: 秘密鍵を使うハッシュ。鍵を知らない攻撃者は同じ値を再現できないため、総当りしても一致しない。鍵は対象データと分離して厳重に管理する。

集計統計: 人数・平均・中央値など、複数人をまとめた数字。個票そのものではない。
データベース再構築攻撃（Database Reconstruction Attack）: 公表された集計統計だけから、元の個票を復元する攻撃。case04 が対象。
再構築定理: 多数の正確な統計を公表すると、それらを同時に満たす個票の組合せが一意に定まってしまう、という考え方。
セル抑制（秘匿）: 統計表で人数の少ない欄などを伏せること。再構築攻撃は残った統計から個票を定めるため、抑制だけでは防げない。
差分プライバシー: 公表する統計に、数学的に制御されたノイズを加えて、個票の復元（再構築）を防ぐ手法。米国2020年国勢調査が採用した。
制約充足問題: 「これらの条件をすべて満たす解を求める」問題。公表統計を条件（制約）にして個票を解くのが再構築攻撃。

削除: 項目そのものを消す。
置換: 値を別の値に置き換える（例: 会員ID → 整理番号）。
一般化（丸め）: 細かい値を粗い区分にまとめる（例: 生年月日 → 年代、住所 → 市区町村／市区郡）。
トップコーディング: 一般化（丸め）の一種で、大きすぎる値を上限でそろえること（例: 購入数量が何個でも上限「5」に、金額が何円でも「5,000円以上」の区分に）。極端な値で個人が浮くのを防ぎます（case02）。
加工なし: 分析に必要なのでそのまま残す。

整理番号: 元の会員IDの代わりに新しく振る通し番号。誰かは分からないが「同じ人の履歴」はたどれる、という状態を作るために使う。元の会員IDとの対応表は加工後データと切り離して安全管理し、照合による本人特定はしない（なぜ削除でなく置換か）。case01（仮名加工）で使う。
仮ID: case02（匿名加工）で会員IDの代わりに割り当てる番号。整理番号と同様に「同じ人の履歴」はたどれるが、匿名加工では元の会員IDとの対応表を残さない（残せば連結符号になる）ため、元に戻せない点が異なる。
ダミーデータ（合成データ）: 教材用に人工的に作った架空のデータ。実在の人物とは無関係です。