「社内ネットワークに繋がっていれば安全」——これは10年前の考え方です。 現在のセキュリティの主流概念は「ゼロトラスト（Zero Trust）」です。「どんな場所・どんな端末からのアクセスも信頼しない。すべてのアクセスを確認する」という考え方です。難しそうに聞こえますが、士業事務所の規模であれば、Microsoft 365の設定を整えるだけで、ゼロトラストに近い状態を実現できます。 なぜ「社内だから安全」が通用しなくなったか テレワークの普及——社内ネットワーク外からのアクセスが日常になりました。「社内にいるかどうか」でセキュリティレベルが変わる設計は、現実に合わなくなっています。テレワーク中の職員は「社外」にいますが、業務データへのアクセスは必要です。 クラウドへの移行——データがサーバー室にある時代は終わりました。Microsoft 365やGoogleドライブにあるデータは、インターネット経由でどこからでもアクセスできます。「社内ネットワーク」の境界に意味がなくなっています。境界型セキュリティの前提が崩れています。 内部脅威の増加——退職者

情報セキュリティの整備は、リスク管理のためだけではありません。適切に整備された事務所は、それを「顧問先への信頼の証」として活用できます。 「うちの事務所はこのようなセキュリティ体制を整えています」と説明できることが、顧問先の選定基準において差別化要因になります。同等のサービス・料金の士業が複数いる場合、情報管理への真剣な取り組みが選ばれる理由になり得ます。 顧問先がセキュリティを気にし始めている背景 個人情報保護法の改正（2022年）以降、中小企業でも個人情報管理の義務が強化されました。顧問先企業も「委託先のセキュリティ管理」を確認する義務を持ちます。委託先のセキュリティ管理が不十分な場合、委託元も管理責任を問われる可能性があります。 税理士・社労士事務所は、顧問先の個人情報・財務情報を預かる「委託先」です。顧問先がセキュリティ管理の強化を求め始めた場合、「うちの士業事務所は大丈夫か」という問いかけが来る可能性があります。2026年度にはSCS評価制度が開始され、取引先のセキュリティ評価が可視化される仕組みが整備されます。 「セキュリティ体制説明

SCS★3の制度開始は2026年10月の予定です。 2026年4月時点から逆算すれば、制度開始まで約半年あります。計画的に準備を進めることができれば、小規模の事務所でも★3取得の申請ができる状態になります。この記事では、士業事務所がSCS★3を取得するまでの現実的なロードマップを整理します。 フェーズ1：現状把握（1〜2ヶ月） 最初にやることは「今の状態を知る」ことです。★3の26項目に対して、現在の自事務所がどの程度対応しているかを確認します。 具体的な作業はIT資産台帳の作成です。PC・スマートフォン・ルーター・クラウドサービスの一覧を作りながら、同時にBitLockerの設定状況、MFAの設定状況、バックアップの状況を確認します。 この作業の結果として「対応済み」「設定はされているが文書化なし」「未対応」の3区分で★3の各項目を仕分けします。これが次のフェーズの優先順位の根拠になります。 所要時間の目安は、担当者1名が集中して取り組めば2〜4週間です。外部の支援を受ける場合はより短縮できます。みまもりの無料診断では、この棚卸し作業を支援しま

SCS評価制度★3は、26項目の要求事項で構成されています。 経済産業省の資料はどうしても行政文書的な表現になっており、「これが自分の事務所の何に相当するのか」がすぐには分かりにくい。この記事では、★3の26項目を弁護士事務所をはじめとする、士業事務所の実務に引き付けた言葉で説明します。「自分の事務所に何をすればいいか」が具体的にイメージできることを目的としています。 カテゴリ1：組織・体制（4項目） セキュリティの責任者を決めること—— 「誰がIT・セキュリティを管理するか」を決め、その役割を明文化することが求められます。所長が兼任する場合でも、「所長がセキュリティ管理を担当する」と明記した規程が必要です。「誰でも担当」は「誰も担当していない」のと同義です。 セキュリティポリシーの策定—— 「情報管理の基本ルール」を文書化することです。既に個人情報取扱規程を整備している事務所は、その内容にセキュリティ管理の観点を追加することで対応できます。IPAのガイドラインにひな型があります。 従業員へのセキュリティ教育—— 年1回以上の教育実施と記録が求め

新しいスタッフを採用するタイミングは、IT・セキュリティ体制を見直す絶好の機会です。 なぜなら、「今まで問題なかった運用」が、人が増えることで問題を引き起こすことがあるからです。また、新しい人間を迎える際に整備することで、「最初から正しい習慣」で仕事を始めてもらえます。入社後に「以前の職場ではこうしていたから」という習慣を持ち込まれる前に、事務所のルールを明確にすることが重要です。 採用時に必ず整備すべき3点 アカウントの発行手順を決める—— Microsoft 365・Googleアカウント・給与ソフト・クラウドサービス、これらのアカウントをどう発行し、どの権限を付与するかの手順を文書化してください。「その都度考える」運用では、権限の付け漏れや過剰付与が起きます。入社時のチェックリストとして「〇〇のアカウントを発行、□□の権限を付与、△△の研修を実施」という形で明文化してください。 アクセス権限を役割に合わせて設定する—— 新スタッフが担当する業務の範囲を確認し、必要最小限の権限を付与します。「とりあえず全部見られるように」という設定は内部漏洩

「先生の事務所のセキュリティ対策、教えてもらえますか」 SCS評価制度が普及する中で、顧問先企業からこう聞かれる場面が来ます。特に製造業・金融機関・IT企業・医療機関を顧問先に持つ士業事務所は、早い段階でこの問いかけを受ける可能性があります。 この問いかけに「分かりません」「特に何もしていません」と答えることが顧問関係にどう影響するか——想像していただければ分かります。「情報を預けているが、管理されていないようだ」という印象は、顧問関係の継続に影響します。 問いかけには2つの側面がある 顧問先からのセキュリティに関する問いかけには、2つの側面があります。 1つは「委託先として士業事務所自身のセキュリティが整っているか」の確認です。顧問先が自社のセキュリティ管理を強化する流れの中で、委託先にも同水準を求める動きが出てきています。これはSCS★3取得の話につながります。 もう1つは「顧問先自身がSCS対応を求められており、どう進めればいいか相談したい」というものです。「うちの顧問先から取引先のセキュリティ評価を求められた。どうしたらいいか」という相談

弁護士事務所へのITセキュリティ相談を受けるとき、最初の問いかけとして必ず聞くことがあります。 「辞めた職員のID、ちゃんと削除しましたか？」 大半の方が、少し間を置いてから「……たぶん大丈夫だと思います」と答えます。 「たぶん」という時点で、すでに問題がある状態です。 弁護士事務所が扱う情報は、士業の中でも特に性質が重い。依頼人の氏名・住所にとどまらず、離婚協議の経緯、刑事事件の内容、企業の内部紛争、相続財産の全容——いずれも「絶対に外に出てはいけない情報」です。 これが漏洩した場合、問題は損害賠償だけではありません。弁護士法や弁護士職務基本規程に基づく懲戒請求が、現実的なリスクとして浮上します。業務停止処分ともなれば、依頼人への影響だけでなく、事務所の存続そのものに関わります。 にもかかわらず、相談を受けてIT環境を確認すると、「これで大丈夫」と言える状態にある事務所はほとんどありません。 よく見かける「穴」の実態 実際に多いのは、次の3パターンです。 退職者のアカウントが残ったまま—— Microsoft 365やGoogleのアカウントを

弁護士事務所のBCP（事業継続計画）は、一般企業のBCPとは性格が異なります。 一般企業が業務停止した場合は「売上の損失」ですが、弁護士事務所が業務停止した場合には「依頼人が法的な支援を受けられなくなる」という直接的な被害が生じます。裁判の期日が迫っている依頼人、在留資格の申請期限が迫っている外国籍の方、離婚協議の急展開に対応が必要な方——これらの方々への影響は、単なる経済的損失にとどまりません。弁護士職務基本規程には、依頼者の利益保護義務が明記されています。 弁護士事務所の業務停止が依頼人に与える影響 裁判の期日徒過—— 主任弁護士が急病で入院した場合、裁判所への期日変更申請が必要です。連絡が取れなければ期日が徒過し、依頼人に不利益が生じます。期日徒過は場合によって取り返しのつかない法的不利益をもたらします。 書類提出期限の超過—— 官公庁・裁判所への書類の期限は延長できないことが多い。システムへのアクセス手段が失われれば、書類の作成自体ができません。案件情報が担当弁護士のPCにしかない場合、事務職員が代替することも不可能です。 依頼人への連絡

情報漏洩というと「外部からの攻撃」をイメージしがちですが、実際の漏洩事案の多くは「内部」から起きます。悪意のある持ち出しに限りません。「見えてしまった」「間違えてアクセスした」ことが起点になるケースも含まれます。 「全員が全部見られる」状態の何が問題か 士業事務所では、案件ごとの機密性が高い情報が混在しています。 離婚協議中のAさんの案件。相続で揉めているB家の案件。顧問先C社の決算情報。これらが「全職員がアクセスできる共有フォルダ」に並んでいる事務所は少なくありません。 担当していない案件の情報まで目に入る環境は、意図せずとも情報にアクセスできてしまう状態です。これは単なるプライバシーの問題ではなく、守秘義務違反のリスクに直結します。 また、外部から事務所のシステムに侵入された場合、アクセス権限が適切に設定されていれば被害の範囲が限定されます。全員フラットの場合、1つのアカウントが乗っ取られただけで、すべての情報に触れられます。 アクセス権限の整理とは何をすることか 難しいことではありません。「この人はこのフォルダを見ていい、見てはいけない」を

外出先でノートPCを電車に置き忘れた、カバンごと盗まれた——これは「ありえない話」ではありません。 士業事務所で働く方は、裁判所・税務署・官公庁・顧問先への訪問など、PCを持ち歩く機会が多い。そのぶん、紛失・盗難のリスクは一般的な事務職より高いと言えます。 問題はPCの「中身」にある PCを1台失うこと自体は、金銭的な損害として許容できる場合もあります。問題は、そのPCの中に何が入っていたか、です。 顧問先の個人情報・決算情報、マイナンバーを含む書類、案件ごとのメールのやりとり——こういったデータが入ったPCが他人の手に渡った場合、情報漏洩として対応が必要になります。 特に見落とされがちなのが「自動サインイン」の問題です。PCさえ開ければ、Microsoft 365やGoogleにそのままアクセスできる状態になっているPCは、紛失した瞬間に「クラウド上のすべてのデータへの鍵」を渡したことになります。ローカルのファイルだけでなく、クラウドに保存された全情報が危険にさらされます。 「パスワードがかかっているから大丈夫」は過信 「Windowsのログイ

「セキュリティ対策にお金をかける余裕がない」という声をよく聞きます。気持ちは分かります。しかし、この話には前提の誤解があることが多い。 多くの場合、士業事務所に必要なセキュリティ対策のほとんどは、すでに支払っているMicrosoft 365やGoogle Workspaceの費用の範囲内で実現できます。追加費用がかかるものは一部です。「お金がかかる」と思って放置している対策が、実は「今すぐ無料でできる対策」であるケースが多い。 Microsoft 365で「追加費用ゼロ」でできること 多要素認証（MFA）—— セキュリティの既定値群をオンにするだけ。最も効果の高い対策が無料で設定できます。設定時間は5分以内です。「お金がないから後回し」にする理由がない対策の筆頭です。 Entra ID（旧Azure AD）によるアカウント管理—— 誰のアカウントが有効か、最後のサインインはいつかを管理画面で確認できます。退職者アカウントの即時無効化も管理画面から数クリックで可能です。 Microsoft Defender（ウイルス対策）—— Windows...

「なりすましログイン」の被害は、パスワードが複雑でも起きます。なぜなら、パスワード単体では「本人かどうか」の証明として十分ではないからです。 二段階認証（多要素認証・MFA）が、今すぐ設定すべき最優先の対策と言われる理由はここにあります。 パスワードが漏れる経路は想像以上に多い 「自分はパスワードを漏らしたことがない」と言える方でも、知らないうちに漏れているケースがあります。 最も多いのが「クレデンシャルスタッフィング」と呼ばれる攻撃です。世界中で起きているサービスへの不正アクセスや情報漏洩で流出したIDとパスワードのリストを使い、別のサービスへのログインを自動で試すものです。「あのサービスで同じパスワードを使っていた」という事実があれば、自分が直接何もしていなくても攻撃が成功してしまいます。 他にも、フィッシングサイトへの誘導で気づかずパスワードを入力してしまったケース、PCにキーロガーが仕込まれていたケースなど、パスワード漏洩の経路は一つではありません。 多要素認証とは何か 多要素認証（MFA）とは、パスワードに加えて「もう1つの確認手段」を

2026年度末、新しいセキュリティ評価制度が始まります。 経済産業省と内閣官房国家サイバー統括室が策定した「サプライチェーン強化に向けたセキュリティ対策評価制度」——略称SCS評価制度（Supply Chain Security評価制度）です。2026年3月27日に制度構築方針が正式公表され、2026年度末頃の制度開始を目指した取組が進んでいます。 「サプライチェーン」という言葉を聞くと、製造業や大企業の話だと思う方が多いかもしれません。しかし士業事務所も、顧問先企業から見れば「取引先」であり「委託先」です。この制度は、士業事務所にとっても無関係ではありません。 なぜこの制度が作られたのか 近年、取引先を経由したサイバー攻撃が急増しています。大企業のシステムを直接攻撃するより、セキュリティが手薄な取引先・委託先を踏み台にして侵入する方が攻撃者にとって容易なためです。「サプライチェーン攻撃」と呼ばれるこの手法は、世界中で被害が拡大しています。 この状況に対し、発注企業側からは「取引先のセキュリティ対策状況が外部から分からない」という課題が、受注企業

「もし私が急に倒れたら、この事務所は翌日から動けなくなる」 士業事務所の所長や、IT担当者を一人で担っている事務局長から、こういった話を聞くことがあります。問題は認識しているのに、忙しさで先送りにされている典型的な課題です。 「属人化」は情報漏洩リスクと表裏一体 IT管理の属人化——特定の一人だけがシステムのことを把握している状態——は、情報漏洩対策と逆方向のリスクを生みます。 情報漏洩は「出ていく」リスク。属人化は「入れなくなる」リスク。 どちらも、事務所の業務を止める要因になります。「所長しかパスワードを知らない」状態は、所長が急病で連絡が取れなくなった瞬間に、事務所のクラウドデータへのアクセス手段を失うことを意味します。 「業務停止」が現実になる場面 急な入院、交通事故、家族の介護での突然の長期休業——これらは決して珍しいことではありません。 官公庁への申請期限が明日に迫っているのに、担当者PCのパスワードが分からない。顧問先から急ぎの問い合わせが来ているのに、案件ファイルのある共有フォルダにアクセスできない。ホームページに問い合わせが来て

「弁護士事務所を装ったメールが届いた」という相談が近年増えています。受け取る側だけでなく「うちの事務所名を使ったなりすましメールが送られていたらしい」という被害も起きています。 「見た目では判断できない」が今の現実 AIを使って自然な日本語で書かれ、実在する士業事務所名・担当者名・電話番号を使ったメールが流通しています。「請求書を添付いたします」「契約書の確認をお願いします」という件名で添付ファイルを開かせてマルウェアを実行させる手口が主流です。 士業事務所が狙われやすい2つの理由 1つは「信頼されている送信者」として機能するから。弁護士や税理士からのメールは受け取った側が疑いを持ちにくい。 もう1つは、SPF・DKIM・DMARCといったメールセキュリティ設定が不十分な事務所が多いから。この設定が未完了の場合、自分のドメインを名乗った偽メールを誰でも送れる状態になっています。 技術的な対策：SPF・DKIM・DMARCとは SPF——「このドメインからメールを送ってよいサーバー」をDNSに登録する設定。未設定だと誰でも自分のドメインを名乗ったメ

外出先でノートPCを電車に置き忘れた、カバンごと盗まれた——士業事務所で働く方は裁判所・税務署・官公庁への訪問などでPCを持ち歩く機会が多く、紛失・盗難のリスクは一般的な事務職より高い。 問題はPCの「中身」にある PCを1台失うこと自体より、中身の問題です。顧問先の個人情報・決算情報、マイナンバーを含む書類、案件のメールのやりとり——これらが他人の手に渡った場合、情報漏洩として対応が必要になります。 特に見落とされがちなのが「自動サインイン」の問題です。PCさえ開ければMicrosoft 365やGoogleにそのままアクセスできる状態のPCは、紛失した瞬間に「クラウド上のすべてのデータへの鍵」を渡したことになります。 「パスワードがかかっているから大丈夫」は過信 BitLocker（ディスク暗号化）がされていないPCは、ハードディスクを取り出して別のPCに接続するだけでデータを読み取ることができます。Windowsのパスワードとは関係なく。今すぐ事務所のPCにBitLockerが有効かどうかを確認してください。 紛失後30分以内にできる体制を

士業事務所のIT整備を支援していると、パスワードの管理状況に話が及ぶ場面で必ず「まずい状態」に遭遇します。事務所の共有アカウントを全員で使い回している。パスワードをExcelにまとめて共有フォルダに置いている。所長が全アカウントのパスワードを知っているが誰も他に知らない——それぞれに別の問題があります。 「使い回し」がなぜ危ないか 同じパスワードを複数のサービスで使い回している場合、どこか1つのサービスでパスワードが漏洩した瞬間に、他のすべてのサービスへの不正アクセスのリスクが生まれます。これを「パスワードリスト攻撃」と言います。「身に覚えのないログイン記録がある」という相談の多くはこのパターンです。 「所長しかパスワードを知らない」問題 所長が急病で連絡が取れなくなったとき、事務所のシステムにアクセスできる人間が誰もいなくなります。クラウドの書類が取り出せない。期限のある申請業務が止まる。情報漏洩とは逆方向のリスクですが、実害という観点では同じくらい深刻です。 今すぐできる対策 多要素認証（MFA）の全員設定——Microsoft...

「急ぎだったので個人のLINEで顧問先に送ってしまいました」——悪意はない。むしろ対応が早かった分、顧問先への配慮もある。でも情報管理の観点からは問題のある行為です。 管理下を離れたデータは「消せない」 会社が管理するPC・スマートフォン上のデータはMDMツールを使えばリモートで削除できます。しかし個人のスマートフォンに送られたデータは、会社側がどうすることもできません。「管理下を離れたデータは追跡できない」——これが私用デバイスへのデータ流出の本質的な問題です。個人LINEに送った資料は退職後もそのスマホが存在する限り残り続けます。 よく起きている4つのパターン 個人LINEでの資料共有——「急ぎだったから」という理由が最多。業務用ツールの使い勝手が悪いと個人LINEへの流出が常態化します。 個人Googleドライブへのバックアップ——「自分がすぐ見られるように」という動機。退職後もそのデータが個人アカウントに残り続けます。 在宅勤務時の私用PCからのアクセス——テレワーク導入時の「とりあえず個人PCで」が続いている場合、業務データが個人PCの

「ランサムウェアは大企業の話」と思っているなら、それは5年前の認識です。現在のランサムウェア攻撃は規模を問わず無差別に行われており、むしろセキュリティが手薄な小規模事務所は攻撃者にとって手間のかからないターゲットです。 ランサムウェアとは何か PCやサーバー上のファイルを強制的に暗号化し、「復号したければ金を払え」と要求するマルウェアです。感染した瞬間から、事務所内のすべてのファイルが開けなくなります。過去の申請書類、顧問先の契約書、税務データ、マイナンバー情報——すべてです。身代金を払っても復号されないケースが多数報告されています。 感染後に何が起きるか 感染直後にまずやることは「ネットワークからの切り離し」です。他の端末への拡散を防ぐため、すべてのPCをネットワークから外す必要があります。その時点で業務は全停止します。 官公庁への申請期限が翌日に迫っている、顧問先の決算申告の期日が今週末——このような状況での業務停止が士業としての信頼に致命的なダメージを与えます。 近年増えているのが「二重脅迫型」です。ファイルを暗号化するだけでなく、事前にデ

弁護士事務所へのITセキュリティ相談を受けるとき、最初の問いかけとして必ず聞くことがあります。 「辞めた職員のID、ちゃんと削除しましたか？」 大半の方が、少し間を置いてから「……たぶん大丈夫だと思います」と答えます。「たぶん」という時点で、すでに問題がある状態です。 弁護士事務所が扱う情報は、士業の中でも特に性質が重い。依頼人の氏名・住所にとどまらず、離婚協議の経緯、刑事事件の内容、企業の内部紛争、相続財産の全容——いずれも「絶対に外に出てはいけない情報」です。 これが漏洩した場合、問題は損害賠償だけではありません。弁護士法や弁護士職務基本規程に基づく懲戒請求が、現実的なリスクとして浮上します。業務停止処分ともなれば、依頼人への影響だけでなく、事務所の存続そのものに関わります。 にもかかわらず、相談を受けてIT環境を確認すると、「これで大丈夫」と言える状態にある事務所はほとんどありません。 よく見かける「穴」の実態 実際に多いのは、次の3パターンです。 退職者のアカウントが残ったまま——Microsoft 365やGoogleのアカウントを「退