第１ 結論
法律事務所では，パスワード付きZIPファイルを電子メールで送り，別の電子メールでパスワードを送る方法（PPAP）を既定手段にしない。ファイル共有は，情報の性質，送信先，閲覧・編集の必要性及び保存期間に応じて，宛先の認証，最小限の権限，有効期限，失効，ログ及び削除を管理できる方法を選ぶ。
クラウド共有へ移れば自動的に安全になるわけではない。共有相手，リンク設定，提供者側の管理者アクセス，再委託先，事故通知，バックアップ及び契約終了時の削除・持出しまで確認する。
刑事事件記録では，保存と第三者への共有を分け，利用目的，共有相手，裁判所が付した条件及び刑事訴訟法281条の4・281条の5を個別に確認する。本記事は令和8年9月28日時点の法令，会規及び公表資料に基づく。
第２ PPAPを既定手段にしない理由
PPAPでは，ファイルとパスワードが同じ電子メール系統を通るため，メールアカウント又は経路をまとめて侵害された場合の防御になりにくい。誤った相手へ2通とも送れば誤送信を防げず，送信後にファイルだけを失効させることも難しい。暗号化された添付ファイルは，受信側のメールシステムによるマルウェア検査を妨げることがある。
国家サイバー統括室の「インターネットの安全・安心ハンドブック」は，PPAPを盗聴・誤送信対策として効果が乏しく，マルウェア検査を困難にする方法として，基本的に利用しないとの方向を示している。
電話又はSMSでパスワードを伝える方法は，パスワードを同じ電子メール経路に載せないという限度では意味があるが，誤送信，失効，ログ，マルウェア検査及び受信後の二次共有を一括して解決するものではない。
第３ 送付方法の比較
| 方法 | 確認すべき点 | 適さない場面 |
|---|---|---|
| 通常のメール添付 | 宛先，添付物，容量，メール経路，受信後の保存 | 秘密性が高く，失効・ログ・期限管理が必要な資料 |
| PPAP | 別経路の実効性，マルウェア検査，誤送信，失効不能 | 事務所の既定手段 |
| クラウド共有リンク | 指定相手，認証，権限，期限，失効，ログ，ダウンロード | リンクを知る全員が閲覧できる設定のまま使う場合 |
| 専用ポータル・データルーム | 利用者管理，監査ログ，通知，契約，終了時のデータ | 管理者，退出者及び保存期間を管理できない場合 |
| 物理媒体 | 暗号化，受渡し，紛失，複製，返却・廃棄 | 追跡可能な受渡し方法を定めない場合 |
同じ事件でも，連絡文だけなら通常メール，証拠一式は期限付きの共有リンク，原本は対面受渡しというように分けることがある。方法の名称ではなく，情報の性質と実際の設定を確認する。
第４ クラウド共有リンクの確認事項
共有前に，次を確認する。
①共有先をメールアドレス等で指定し，「リンクを知っている全員」を避けられるか
②本人確認又は多要素認証を求められるか
③閲覧のみ，ダウンロード可，編集可を分けられるか
④有効期限を設定し，事件終了又は誤送信時に失効できるか
⑤閲覧，ダウンロード，編集及び共有変更のログを確認できるか
⑥受信者による再共有又はローカル保存をどこまで制御・把握できるか
⑦契約主体，保存・処理国，再委託先及び提供者側の管理者アクセスはどうなっているか
⑧侵害時の通知，バックアップ，契約終了時の削除及び一括エクスポートは可能か
共有設定の画面で「安全」と表示されることだけでは足りない。実際の相手方アカウントで閲覧できること，第三者アカウントでは閲覧できないこと，期限又は失効後に開けないことを必要に応じて試す。
第５ 送信前に文書内部も点検する
送信先と共有設定が正しくても，文書内部に不要な情報が残っていれば漏えいにつながる。
①PDFは，黒い図形を重ねただけの墨消しになっていないか，文字列の検索・コピー及びレイヤー表示で確認する。
②Wordは，変更履歴，コメント，文書のプロパティ，非表示文字及び埋込みファイルを確認する。
③Excelは，非表示シート・行・列，コメント，数式，外部リンク及び印刷範囲外のデータを確認する。
④画像は，位置情報，撮影日時，端末名その他のメタデータを確認する。
⑤ファイル名，フォルダー名及び共有リンク名に，他の依頼者名又は事件名が含まれていないかを確認する。
最終版を別名で書き出し，送信する実物を開いて点検する。元文書の画面だけを見て，送信物も同じだと推測しない。
第６ 刑事事件記録を共有するとき
刑事訴訟法281条の4は，被告人又は弁護人が検察官から開示を受けた証拠書類・証拠物の写し等について，当該被告事件又は関連する一定の手続に使用する目的以外で使用することを禁止し，同法281条の5は違反に対する罰則を定めている。
また，犯罪被害者等の権利利益の保護を図るための刑事手続に付随する措置に関する法律3条に基づき，裁判所が謄写物の使用目的又は条件を定めることがある。
したがって，クラウドへの保存それ自体と，共同受任者，依頼者，鑑定人，通訳人その他の第三者が閲覧可能な状態にすることを分けて検討する。共有前に，①資料の入手経路，②利用目的，③共有相手の立場，④事件との関係，⑤裁判所の条件，⑥ダウンロード・再共有の可否及び⑦共有終了後の削除を確認する。特定のクラウド製品を使うだけで適法性が決まるものではない。
第７ 事務所の基本的な取扱方法に書く事項
日本弁護士連合会の弁護士情報セキュリティ規程3条に基づく基本的な取扱方法には，少なくとも，①通常使う送付方法，②PPAPを原則として使わないこと，③例外承認者，④クラウド共有の権限・期限・失効・ログ，⑤刑事記録等の特別な承認，⑥送信前の文書点検，⑦誤送信・誤共有時の連絡先及び初動，⑧委託先と職員への周知を具体化することが考えられる。
規程全体は弁護士情報セキュリティ規程とはを，クラウド・NAS・バックアップはサーバー・NAS・クラウドストレージ・DNSの違いを参照されたい。
第８ 出典と調査範囲
①国家サイバー統括室「インターネットの安全・安心ハンドブック」Ver5.10
②日本弁護士連合会「弁護士情報セキュリティ規程」3条～7条
③刑事訴訟法281条の4・281条の5
④犯罪被害者等の権利利益の保護を図るための刑事手続に付随する措置に関する法律3条
⑤東京弁護士会「LIBRA 2026年9月号」2頁～13頁
刑事記録のクラウド共有が個別事案で許されるかは，記録の種類，利用目的，共有相手，裁判所の条件及び実際のアクセス設定を確認するまで確定できない。本記事は特定サービスの安全性又は個別共有の適法性を一律に判定するものではない。