第１ VPNの導入後に確認する三つの問題
法律事務所でVPNを使う場合，通信経路の保護，VPN機器自体の更新及び接続後に利用できる情報の範囲を分けて確認する必要がある。VPNを導入したことだけで，事件資料への不正アクセスが防げるわけではない。
本記事は，小規模な法律事務所が保守事業者と相談するための確認事項を整理する。基準日は令和８年１０月１３日である。具体的な台帳，契約項目及び確認の順序は運用上の提案であり，全事務所に同一の機器・製品構成を義務付けるものではない。
１ 通信経路と保存先の権限を分ける
VPNは離れた端末や拠点を仮想的な専用ネットワークで接続する技術であり，インターネットを経由する構成では通信の暗号化等が使われる。VPNの方式，接続先及び保護される区間は，実際の構成で確かめる。
通信が保護されても，接続する端末の感染，認証情報の悪用又は保存先の過大な権限は別の問題である。自宅から事務所へ接続するためのVPNと，一般消費者向けのVPNサービスも，接続先と目的が異なる。
２ 製品の名称より実際の運用を確認する
導入費だけで比較せず，誰が更新情報を確認し，誰が作業を承認し，誰が適用結果とアクセス権限を確認するかを決める。管理を外部へ委託していても，事務所側の連絡先と判断者が不明なままにしない。
回線と機器の基本的な役割は，インターネット接続の仕組み，保存先の区別は，法律事務所のサーバー・NAS・クラウド・DNSを参照されたい。
第２ デジタル庁の公表事案から分かること
デジタル庁のQ&A（令和８年９月１２日更新）によれば，保守運用担当者のアカウントによる大量のファイルへのアクセスを６月２５日に検知し，７月９日にVPN機器の脆弱性を利用した侵入が判明した。同庁は，修正プログラムの適用前に既知の脆弱性が悪用されたと説明している。
同庁が公表した約２４．６万件は，漏えいした可能性がある個人情報の件数である。全件の外部流出が確定した人数として扱ってはならない。具体的な脆弱性や機器については公表が差し控えられており，この説明だけで特定製品や保守事業者の過失を認定することもできない。
本事案から法律事務所の運用へ応用するなら，更新を予定した段階と適用が済んだ段階を区別し，管理・保守用アカウントから何へアクセスできるかを確認することである。
第３ 更新対象を台帳で把握する
１ 機器，版及びサポート終了を記録する
IPAのVPNルータ等に関する注意喚起は，IT資産として管理されていない機器の再確認とファームウェアの更新等を勧め，サポート終了製品の使用停止又は後継製品への移行にも言及している。これは対象製品についての注意喚起であり，他の全製品に同じ脆弱性があるとの意味ではない。
事務所では，VPN機器，ルータ及びNASごとに，型番，設置場所，用途，現在のファームウェア版，管理事業者，更新担当，公式情報の確認先，サポート終了日及び次の点検日を記録する。パスワードそのものは一般の機器台帳に書かず，別の安全な方法で管理する。
２ 危険度の点数だけで順番を決めない
対応の優先度は，深刻度の評価だけでなく，インターネットから到達できるか，実際の悪用が確認されているか，事件資料や管理機能へ到達できるか，代替経路があるかを保守事業者と検討して決める。
更新を待つ場合は，暫定対策，判断者，理由，期限及び見直す条件を記録する。更新による停止が心配な場合も，停止の影響と未対応の危険を比較し，安全な代替手段を用意する。
３ 依頼と適用完了を区別する
更新記録には，対象機器，根拠となる公式通知，適用前後の版，作業日時，担当者，動作確認，残る問題及び承認者を残す。「業者へ依頼済み」だけでは完了としない。
更新のために保護機能を恒久的に無効化したり，侵害の疑いがある機器を調査前に初期化したりしない。侵害が疑われる場合は，第６の初動へ切り替える。
第４ 接続後のアクセスを必要な範囲へ絞る
１ VPNへの接続と資料の利用を別々に認める
NIST SP 800-207は，ネットワークの内側にいることだけで暗黙に信頼せず，利用者，端末及び対象資源を確認してアクセスを認める考え方を示す（本文４～８頁）。日本の法律事務所に直接適用される法令ではないが，設計の参考になる。
事務所では，職員，弁護士，保守担当者及び機械処理用アカウントを区別し，事件資料の閲覧・変更・削除，NAS管理及び機器設定を必要な範囲へ絞る。例えば，機器の保守担当者に，全事件フォルダを日常的に閲覧できる権限が必要かを点検する。
２ 認証，端末及び失効を併せて点検する
多要素認証の対応状況，端末の更新・管理状態，保守用アカウントの利用時間と操作記録，退職・委託終了時の権限削除及びセッション失効を確認する。多要素認証も，機器の脆弱性対策や保存先のアクセス制御を置き換えるものではない。
国・地域による接続制限を補助的に使う場合も，それだけでゼロトラストの実装が完了したとはいえない。NISTは，資産と業務の把握を先に行い，既存構成と併存させながら段階的に移行する考え方も示している（本文３６～３８頁）。
第５ 保守契約と実際の担当を確認する
次の事項は，既存の契約，見積書，運用手順及び実際の連絡体制を照合するための提案である。契約上の文言だけで，作業が行われているとは判断しない。
| 確認事項 | 契約・運用で決めること | 完了・実施の記録 |
|---|---|---|
| 対象と責任分担 | 対象機器，ソフトウェア，設定，担当者及び事務所の承認者 | 機器台帳，担当・代替者一覧 |
| 脆弱性の通知 | 情報を確認する者，通知先，緊急時の応答・作業開始の目安 | 通知日時，受領者，判断期限 |
| 更新と緊急対応 | 通常・緊急更新，停止の判断，暫定対策，追加費用 | 適用前後の版，動作確認 |
| 保守用アクセス | アカウント，認証，必要な権限，利用時間，終了時の失効 | 許可と操作の記録，失効結果 |
| ログと事故調査 | 保存するログ，期間，時刻の管理，保全・取出し担当 | ログ所在，取得方法，保全記録 |
| サポート終了 | 終了の通知，移行の判断，費用及び機器・設定の引継ぎ | 移行期限，確認済みの移行先 |
責任者が不在でも緊急の連絡と判断ができるよう，代替者を決める。窓口の連絡先は，障害が起きたVPNやクラウドへ接続できなくても取り出せる状態にする。
保守契約の変更を検討する場合は，対象，費用，停止による影響及び既存の責任制限を具体的に確認する。公表された事故の概要だけで，個別契約の債務不履行や損害賠償責任を断定することはできない。
第６ 侵害が疑われたときは更新だけで終了しない
不審な接続，管理アカウントの異常又は大量のファイル取得を検知した場合は，発覚時刻，対象機器，操作及び影響を記録し，保守事業者・調査担当者と，通信の隔離と証拠保全を相談する。被害拡大を止める判断を調査終了まで待たず，隔離の操作と時刻も残す。
VPNのログだけでなく，管理・保守アカウントの認証，内部での接続先，ファイルの閲覧・取得，設定変更及び端末の記録を照合する。保存したログにも秘密情報が含まれ得るため，閲覧者と保管先を限定する。
修正プログラムを適用しても，既に悪用された認証情報，残るセッション，内部の侵害又は外部流出の有無が確認されたとは限らない。安全な環境からのアカウント停止・認証情報変更等の要否と，安全に再接続できる条件を専門担当者が確認する。
具体的な初動，法令上の報告及び依頼者への連絡は，法律事務所のサイバー事故初動チェックリストに従い，技術的な復旧と別に検討する。
第７ 事務所の取扱方法へ組み込む
個人情報保護委員会の通則編は，アクセス制御，利用者の識別・認証，不正アクセス等の防止等を技術的安全管理措置として整理している（１０－６）。例示された方法を，全事務所に同じ製品を導入させる義務として扱わない。
法律事務所の具体的な取扱方法と点検への組込みは，弁護士情報セキュリティ規程の記事を参照されたい。機器台帳，更新記録，アクセス権限及び保守契約の確認を，担当と期限のある点検へつなげることが重要である。
第８ 出典・確認範囲
①デジタル庁「GSSへの不正アクセスに関するQ&A」（令和８年９月１２日更新。時系列，原因，被害規模及び対応の説明）
②IPA「FutureNet NXRシリーズ，VXRシリーズ及びWXRシリーズの脆弱性」（令和６年８月１日。概要及び対策。対象製品の注意喚起）
③NIST SP 800-207, Zero Trust Architecture（２０２０年８月。本文４～８頁及び３６～３８頁。考え方と移行・資産把握）
④個人情報保護委員会「個人情報保護法ガイドライン（通則編）」（１０－３及び１０－６。組織的・技術的安全管理措置）
本記事は一般的な保守とアクセス管理を扱う。特定の事務所の設定や契約の検収，特定製品の安全性認定又は個別事故の責任判断を行ったものではない。