CSVをアップロードして年齢・性別・郵便番号などの列を選ぶだけで、組み合わせごとの該当人数（k値）を自動集計。 一般化を適用した後も再識別リスクが残っていないかを数値で確認できます。
このツールはブラウザの中だけで動いています。入力した内容が、外部に送信されることはありません。入力内容は外部に送信されません。
詳しくCSVファイルをドラッグ＆ドロップ、またはクリックして選択
1行目を列名（ヘッダー）として読み込みます
k-匿名性チェックとは？『隠した後』の再識別リスクを数値で測る
氏名や電話番号といった直接識別子をマスキング・仮名化しても、年齢・性別・郵便番号・居住地域などの『準識別子』の組み合わせが特徴的であれば、他の名簿や公開情報と突き合わせることで個人が再識別されてしまう場合があります。実際に、生年月日・性別・郵便番号という3つの情報だけで人口の大部分が一意に特定できるという研究結果も知られています。
本ツールは、CSVデータをアップロードして準識別子となる列を選ぶだけで、同じ属性の組み合わせを持つ行が何件あるか（k値）を自動集計し、k値が小さい＝再識別されやすい行を検出します。既存のマスキング・仮名化ツールが「隠す」ことに特化しているのに対し、本ツールは「隠した後も特定できてしまわないか」を測ることに特化しています。
さらに、年齢を年代に、郵便番号を上位の桁までに丸めるといった一般化（generalization）をその場で適用し、処理前後でk値や危険な行の件数がどう変化するかを比較できます。任意で機微な属性の列を指定すれば、グループ内の多様性を評価するℓ-多様性（l-diversity）もあわせて確認できます。
こんなシーンで便利です
アンケート調査データを外部に公開・提供する前の確認に
研究機関や自治体がオープンデータとして調査結果を公開する前に、回答者が特定されてしまう行が残っていないかを事前にチェックできます。
顧客データをマーケティング分析用に部門間で共有する前に
氏名や会員IDを除いた顧客データであっても、年齢・性別・居住エリアの組み合わせから個人が絞り込めてしまわないかを、共有前の最終確認として利用できます。
匿名加工情報・仮名加工情報としての提供を検討する際の事前検証に
個人情報保護法上の匿名加工情報・仮名加工情報として第三者提供を検討する際、加工後のデータにどの程度の再識別リスクが残っているかを定量的に把握する材料として使えます。
一般化の『かけすぎ・かけなさすぎ』を調整したい時に
年齢を5歳刻みにするか10歳刻みにするか、郵便番号を何桁まで丸めるかなど、分析に必要な粒度を保ちながらリスクを許容範囲に抑えるための試行錯誤に活用できます。
使い方は簡単 4ステップ
- 評価したいCSVファイルをアップロードします（お試し用のサンプルデータも用意しています）。
- 列の一覧から、年齢・性別・郵便番号など『準識別子』として扱う列にチェックを入れます。
- 必要に応じて機微な属性の列（病歴・年収など）を指定すると、ℓ-多様性もあわせて評価されます。
- しきい値（k値）を設定して結果を確認し、危険な行が多い場合は各列の一般化ルール（年代化・桁数の短縮・完全なマスク）を適用して再評価します。
※一般化ルールを変更すると、グラフと危険な行の一覧がリアルタイムに再計算されます。処理後のデータはCSVとしてそのままダウンロードできます。
ご利用時の注意点
- 本ツールはk-匿名性・ℓ-多様性という統計的な指標に基づく『目安』を示すものであり、法令上の匿名加工情報・仮名加工情報の加工基準への適合を保証するものではありません。実際の加工・提供にあたっては、個人情報保護委員会のガイドライン等を必ずご確認ください。
- 準識別子の選定について：どの列を準識別子として扱うべきかはデータの性質や提供先によって異なります。判断に迷う場合は、組織内の個人情報保護担当者や専門家にご相談ください。
- 外部データとの突合リスクについて：本ツールはアップロードされたデータ単体でのk値を評価するものです。外部に公開されている別のデータセットと組み合わせた場合のリスクまでは評価できません。
- 完全無料・安全：アップロードしたデータは外部サーバーへ送信されない、通信が発生しないブラウザ完結型の設計です。
代表的な準識別子の一般化手法と、再識別リスクへの効果
列の性質ごとに、本ツールで選択できる一般化手法と効果の目安をまとめました。
| 列の例 | 一般化手法 | 変換後のイメージ | 効果の目安 |
|---|---|---|---|
| 年齢・生年月日 | 数値の範囲化（年代化） | 34歳 → 「30代」「30〜39歳」 | 刻み幅が広いほどリスク低下・分析精度は低下 |
| 郵便番号 | 先頭◯桁への短縮 | 150-0001 → 「150」 | 桁数を減らすほど広域化され、リスクが大きく低下 |
| 住所・勤務先 | 先頭◯文字への短縮 | 東京都渋谷区〇〇 → 「東京都渋谷区」 | 市区町村レベルまでの短縮が一般的 |
| 性別・職業など | 完全な一般化（マスク） | 全件を同一の値に統一 | その列の絞り込み効果を実質ゼロにする最も強い手法 |
【一般化と分析価値のトレードオフ】
一般化の度合いを強めるほど再識別リスクは下がりますが、同時にデータが持つ情報量（分析の解像度）も失われます。
- 弱い一般化（5歳刻み・郵便番号5桁など）： 分析価値は高く保たれますが、k値が小さい行が残りやすい傾向があります。
- 強い一般化（10歳刻み・郵便番号3桁・完全マスクなど）： k値は大きくなりやすい一方、細かい傾向分析には向かなくなります。
※効果の目安はデータの分布（対象人数や属性の偏り）によって変動します。必ず本ツールでの実測値（一般化前後のk値）とあわせてご確認ください。
k-匿名性の基礎と、再識別リスクを正しく評価するための考え方
データの共有・公開を検討する前に押さえておきたい、匿名性評価の基本概念と実務上の注意点を解説します。
結論：『直接識別子を消す』と『再識別できなくする』は別の問題
氏名・電話番号・メールアドレスなどの直接識別子を削除する作業（マスキング・仮名化）と、年齢・性別・郵便番号などの準識別子の組み合わせによる絞り込みを防ぐ作業は、まったく別の問題です。
前者を行っただけで『匿名化できた』と考えてしまうのが典型的な失敗であり、本ツールが評価するのは後者、つまり『隠した後も特定できてしまわないか』という観点です。
k-匿名性という考え方：『同じ組み合わせの人が最低k人いる』状態を作る
k-匿名性は、研究者ラタニヤ・スウィーニー氏らによって提唱された考え方で、ある準識別子の組み合わせを持つレコードが、データセット内に必ずk件以上存在する状態を指します。
k=1の行は、その属性の組み合わせがデータ内に1件しかない『ユニークな行』であり、外部の名簿やSNS等の公開情報と突き合わせることで個人が一意に特定されるリスクが最も高い状態です。k値が大きいほど、同じ属性を持つ『紛れ込める人数』が増え、相対的に安全性が高まります。
k-匿名性だけでは防げない『同質性攻撃』とℓ-多様性
k-匿名性を満たしていても、あるグループ内の機微な属性（例：病名）がすべて同じ値だった場合、そのグループに属すると分かった時点で機微な情報が実質的に特定されてしまいます。これを同質性攻撃（homogeneity attack）と呼びます。
この弱点を補うのがℓ-多様性という考え方で、各グループ内の機微な属性に最低ℓ種類以上のバリエーションがあることを追加で要求します。機微な情報を含むデータを扱う場合は、k-匿名性だけでなくℓ-多様性もあわせて確認することが推奨されます。
一般化（Generalization）と抑制（Suppression）という2つの加工手法
k-匿名性を満たすための代表的な加工手法が一般化と抑制です。
一般化は、年齢を年代にする、郵便番号を上位の桁までにするなど、値の粒度を粗くして複数のレコードを同じ値にまとめる手法です。抑制は、特定不可能なほど珍しい属性を持つ行そのものをデータセットから除外、または値を伏せ字にする手法です。一般的には、まず一般化で粒度を調整し、それでもk値を満たせない少数の行に対して抑制を検討する、という順序で加工を進めます。
よくある失敗と対策
氏名・会員IDを削除しただけで『匿名化が完了した』と誤認し、顧客データを共有してしまう
直接識別子を取り除いた状態のデータを『個人が特定できない安全なデータ』と判断して部門間や外部へ共有してしまい、実は年齢・性別・郵便番号の組み合わせが特徴的な少数のレコードが残っていて、再識別が可能だったという失敗です。
💡 対策・解決策を見る▼
一般化の粒度が粗すぎて、分析に必要なデータの解像度が失われてしまう
再識別リスクを過度に警戒し、年齢を20歳刻み、住所を都道府県単位まで一般化した結果、k値は十分に大きくなったものの、本来行いたかった年代別・地域別の詳細な分析ができなくなってしまうケースです。
💡 対策・解決策を見る▼
機微な属性（病名・年収など）を準識別子に含めてしまい、評価の前提がずれる
本来は『グループ内でどれだけ多様性があるか（ℓ-多様性）』を評価すべき機微な属性の列を、誤って『組み合わせで絞り込みに使われる準識別子』として扱ってしまい、k-匿名性の評価結果と実際のリスクの所在がずれてしまう失敗です。
💡 対策・解決策を見る▼
k値がしきい値を満たしているデータでも、外部データとの突合リスクを見落とす
データセット単体ではk値が十分に大きく『安全』と判断したものの、インターネット上で公開されている別の名簿やSNSの公開情報と組み合わせることで、実は少数の個人まで絞り込めてしまう可能性を見落としてしまう失敗です。
💡 対策・解決策を見る▼
よくある質問（FAQ）
Q.k-匿名性（k-anonymity）とは何ですか
A. k-匿名性とは、年齢・性別・郵便番号のように組み合わせることで個人を絞り込める『準識別子』の値の組み合わせが、データ内で必ずk件以上存在する状態を指す考え方です。例えばk=5であれば、同じ属性の組み合わせを持つ人が最低5人いることになり、1件に絞り込まれる（＝個人が特定される）リスクが下がります。逆にk=1の行は、その組み合わせがデータ内で唯一であり、他の情報と突き合わせることで個人が一意に特定される可能性が高い状態です。
Q.氏名や電話番号を削除（マスキング）すれば、もう安全ではないのですか
A. 氏名や電話番号のような『直接識別子』を削除しても、年齢・性別・郵便番号・職業といった『準識別子』の組み合わせが特徴的であれば、外部の名簿や公開情報と照合することで個人が再識別されてしまうケースがあります。実際に、米国のある研究では生年月日・性別・郵便番号の組み合わせだけで人口の8割以上が一意に特定できたという報告もあります。本ツールは、直接識別子を隠した『後』に、この準識別子の組み合わせによる再識別リスクがどれだけ残っているかを数値で確認するためのものです。
Q.どの列を『準識別子』として選べばよいですか
A. 単独では個人を特定できないものの、組み合わせると絞り込みに使われやすい列が準識別子の候補です。年齢（生年月日）、性別、郵便番号、居住地域、職業、役職、最終学歴などが代表的です。一方、購入商品や回答内容など分析対象そのものの列（機微な情報を含むことが多い『機微属性』）は、通常は準識別子に含めず、オプションの『ℓ-多様性チェック』で別途評価します。迷った場合は、属性が特徴的であるほど（例：郵便番号は年代より絞り込みの効果が強い）、優先して準識別子に含めることをおすすめします。
Q.一般化（年代化・市区町村化）を適用すると、データの分析価値は下がりますか
A. はい、一般化は『再識別リスクを下げる』ことと引き換えに『データの粒度』を犠牲にする手法です。例えば年齢を年代（10歳刻み）に変換すると個人の特定は難しくなりますが、年齢ごとの詳細な傾向分析はできなくなります。本ツールは一般化の適用前後でk値（最小k・危険な行の件数）がどう変化するかを比較表示するため、『分析に必要な粒度を保ちながら、どこまで一般化すればリスクを許容範囲に抑えられるか』を試行錯誤しながら判断できます。
Q.ℓ-多様性（l-diversity）とは何ですか。k-匿名性だけでは不十分なのですか
A. k-匿名性は『同じ属性の組み合わせを持つ人が何人いるか』を評価しますが、そのグループ内で機微な情報（病名や年収など）がすべて同じ値だった場合、グループの人数が多くても実質的に内容が特定されてしまいます（同質性攻撃と呼ばれます）。ℓ-多様性は、各グループ内で機微な属性の値が最低ℓ種類以上の多様性を持っているかを追加で評価する指標です。本ツールでは任意で機微属性の列を指定すると、k-匿名性とあわせてℓ-多様性も確認できます。
Q.アップロードしたCSVデータが外部に送信される心配はありませんか
A. 一切ありません。本ツールはCSVの読み込みから匿名性の評価、一般化処理まで、すべての処理をブラウザ内（メモリ上）だけで実行します。顧客データや調査データなど機微な情報を含むファイルであっても、外部のサーバーへ送信されたり保存されたりすることはなく、ページを閉じれば内容は即座に消去されます。
Q.k値はいくつ以上あれば『安全』と言えますか
A. 一概には言えませんが、公的統計やオープンデータの提供指針ではk=5またはk=10以上を最低ラインとすることが多く見られます。ただしデータの性質（機微度が高いか、対象人数が少ないか）や、どの程度まで再識別されるリスクを許容できるかによって適切な基準は変わります。本ツールではk値のしきい値を自由に設定できるため、組織のガイドラインや公開先の条件に応じて基準を調整し、何件の行がその基準を下回っているかを確認してください。
あなたの声で、
このツールをより鋭く。
「こんな機能が欲しい」「ここを直してほしい」といったご意見や、新しいツールのリクエストを募集しています。エンジニアが直接目を通し、開発の参考にさせていただきます。