士業事務所のセキュリティ対策｜最低限やるべき4領域と職員教育
税理士・社労士・司法書士などの士業事務所は、顧客の財務情報や個人情報を日常的に預かる立場です。情報漏えいが起きれば、事務所の信用だけでなく、顧客の事業にも影響します。この記事では、専任のIT担当がいない事務所を前提に、端末・メール・クラウド・紙の4領域で最低限やるべきことと、職員教育、取引先から届くチェックシートへの備えを整理します。すべてを一度にやる必要はなく、優先順に進めれば十分です。
士業事務所が狙われやすい理由
士業事務所は、規模が小さくても、扱う情報の価値が高い点が特徴です。顧客の決算書、給与データ、マイナンバー、登記関係の書類など、流出すれば大きな被害につながる情報が集まっています。一方で、IT管理は所長や職員が兼務で手探りに行っていることが多く、対策の穴が残りやすい状態です。
攻撃する側から見ると、「価値の高い情報があり、守りが薄い」場所になります。大手企業のような対策は必要ありませんが、「最低限ここまでは」という線は引いておく必要があります。
領域1：端末（パソコン・スマートフォン）
- OSとソフトの更新を止めない。更新を後回しにした古いパソコンが、侵入の入口になります。自動更新を有効にし、サポートが終了したOSは使いません。
- ウイルス対策ソフトを全台に入れる。OSに付属するものでも、有効になっていて更新されていれば一定の効果があります。
- ディスクの暗号化を有効にする。ノートパソコンを紛失しても、暗号化されていれば中身は読まれにくくなります。
- 画面ロックを設定する。離席時に自動でロックされるようにします。
- 私物端末の業務利用のルールを決める。私物のスマートフォンで顧客データを扱うなら、画面ロックと紛失時の対応を決めておきます。
領域2：メール
士業事務所への攻撃の多くは、メールから始まります。
- 多要素認証を有効にする。メールアカウントの乗っ取りは、顧客へのなりすましメール送信につながります。パスワードだけで守らないようにします。
- 添付ファイルとリンクの扱いを決める。見慣れない送信元の添付は開かない、心当たりのない請求書はまず電話で確認する、といった基本を明文化します。
- 重要な書類のやり取りは、メール添付以外も検討する。パスワード付きZIPを別送する方法は、安全性の面で見直されています。クラウドの共有機能など、代わりの手段を決めます。
- 誤送信対策を決める。送信前に宛先を確認する習慣に加え、送信を一定時間保留する機能などを活用します。
領域3：クラウドサービス
会計ソフト、電子申告、ファイル共有など、士業の業務はクラウドの利用が前提になっています。
- アカウントの一覧を作る。どのサービスに、誰のアカウントがあるかを把握します。退職した職員のアカウントが残っていないかを確認します。
- 共有設定を見直す。「リンクを知っている全員」で共有されたフォルダーに、顧客データが置かれていないかを点検します。
- 管理者権限を絞る。全員が管理者になっている状態は避け、所長と、もう一人の担当に限定します。
- サービスの選定基準を決める。新しいサービスを使うときは、データの保存場所、バックアップ、契約終了時のデータの取り出し方を確認します。
領域4：紙と物理的な管理
士業事務所では、紙の書類が今も多く残ります。デジタルの対策だけでは不十分です。
- 施錠できる保管場所を決める。顧客の原本や、マイナンバーを含む書類は、施錠できるキャビネットに保管します。
- 廃棄の方法を決める。シュレッダーか、溶解処理の業者か。ゴミ箱にそのまま捨てない運用にします。
- 来客エリアと執務エリアを分ける。来客の目に顧客情報が入らない配置にします。
- 持ち出しのルールを決める。訪問先に書類を持ち出すときの記録と、紛失時の連絡先を決めておきます。
職員教育：ルールは「知っている」状態で初めて機能する
対策を決めても、職員が知らなければ意味がありません。年に1回、30分程度でよいので、次の内容を全員で確認する場を設けます。
- 不審なメールの見分け方と、迷ったときの相談先
- パスワードの使い回しをしない理由と、管理の方法
- 顧客情報を扱うときの基本（画面ロック、持ち出し、廃棄）
- 生成AIやクラウドサービスに、顧客情報を入力しないこと
教育は、「禁止事項を並べる」より、「なぜそうするのか」を事務所の実例で伝える方が定着します。職員向けの研修は、中小企業のセキュリティ対策支援でもお手伝いしています。
取引先チェックシートへの備え
顧客企業や提携先から、「セキュリティチェックシート」への回答を求められる機会が増えています。質問の多くは、この記事で挙げた内容と重なります。
- 端末の管理（更新、ウイルス対策、暗号化）
- アクセス管理（多要素認証、退職者のアカウント処理）
- 情報の持ち出しと廃棄のルール
- 職員教育の実施状況
- 事故が起きたときの連絡体制
あらかじめ「自事務所の対策一覧」を1枚にまとめておくと、チェックシートが届いたときに、そこから転記するだけで答えられます。「できていない項目」も把握できるので、次に取り組む優先順位も見えてきます。
よくある質問
職員数名の事務所でも、ここまで必要ですか？
規模ではなく、扱う情報で判断します。顧客の財務情報や個人情報を預かる以上、端末・メール・クラウド・紙の基本は、人数にかかわらず必要です。ただし、やり方は人数に合わせて簡単にできます。
何から始めればよいですか？
まず、メールとクラウドの多要素認証、パソコンの自動更新、退職者アカウントの確認の3つです。費用がほとんどかからず、効果が大きい項目です。
対策に大きな費用がかかりますか？
この記事の内容の多くは、今使っている仕組みの設定変更とルール作りで対応できます。新たに費用が発生するのは、暗号化の仕組みや保管庫などの一部です。現状を点検したうえで、必要なものだけを選ぶことをおすすめします。
まとめ
士業事務所のセキュリティ対策は、端末・メール・クラウド・紙の4領域で「最低限の線」を引くことから始まります。多要素認証、自動更新、退職者アカウントの確認、共有設定の点検、施錠と廃棄のルールなど、多くは設定変更とルール作りで対応できます。決めたことは職員に伝え、年に1回は全員で確認します。対策の一覧を1枚にまとめておけば、取引先からのチェックシートにも落ち着いて答えられます。