第１ 税理士事務所に固有の初動課題
１ 一つの通知を顧問先ごとの影響へ分解する
税理士事務所がクラウド会計，給与計算，証憑保管又は電子申告に関する漏えい通知を受けた場合，提供事業者の全体発表を読むだけでは足りない。
事務所自身の契約，職員アカウント，各顧問先から付与された権限，保存された申告・給与・マイナンバー関係資料及び申告期限への影響を分けて確認する必要がある。
本記事は，令和８年１０月１６日時点の公表資料に基づき，税理士事務所が提供事業者から不正アクセス，設定不備その他の漏えい等の通知を受けた場合の確認順序を整理するものである。
個別サービスの安全性又は個別事案の違法性を判定するものではなく，事実，提供事業者の説明，実務上の推認及び未確認事項を分けて扱う。
２ 直ちに行うこと，当日中に行うこと
直ちに行うことは，公式サイト又は契約書記載の窓口から通知の真偽を確認し，不審な通信・セッション・アカウントを止め，消去又は上書きされる前に関係ログと通知原本を保全することである。
メール本文のリンクだけを起点にせず，普段のブックマーク又は手入力した公式URLから案内を確認する。
当日中に，①影響を受けたサービスと期間，②事務所・職員・顧問先のアカウント，③保存又は連携していたデータ，④次の申告・納付・給与処理期限，⑤行政報告・本人通知・顧客通知の担当を一覧にする。
原因調査の完了を待ってから期限管理を始めるのではなく，封じ込め，証拠保全，影響確認及び代替業務を並行する。
第２ 契約主体，利用者及びデータを固定する
１ 提供事業者，事務所及び顧問先の三者を分ける
同じクラウド画面を利用していても，契約者，個人データの取扱主体，管理者，通常利用者及び費用負担者が同じとは限らない。
顧問先が契約したアカウントに事務所が招待されている場合と，事務所が契約した環境へ顧問先データを取り込んでいる場合とでは，権限停止，ログ取得，通知及び契約上の連絡先が異なる。
委託先で事故が起きたことは，委託元の確認・報告・本人通知が当然に不要になることを意味しない。
契約名義と実際のデータフローを照合し，誰が個人情報取扱事業者又は個人番号関係事務実施者となるかを事案ごとに確認する。
２ 顧問先別の影響表を作る
対象件数の総数だけでは，個別顧問先の影響を判断できない。
次の表のように，顧問先ごとにアカウント，データ，期間，期限及び連絡担当を対応させる。
| 項目 | 確認する内容 | 証拠・担当 |
|---|---|---|
| 契約・権限 | 契約者，管理者，職員の役割，顧問先からの招待又は委任，停止すべき権限 | 契約書，管理画面，権限台帳 |
| データ | 仕訳，証憑，給与，従業員情報，口座情報，申告データ，マイナンバー関係資料，API連携先 | データ台帳，連携一覧 |
| 時間 | 不正アクセス又は設定不備の期間，最終正常時点，ログの保存期限 | 提供者通知，ログ，時刻表 |
| 業務 | 直近の申告・納付・給与・年末調整等の期限，代替手段，送信結果の確認 | 期限表，受信通知，受付結果 |
| 連絡 | 提供事業者，顧問先，従業員等の本人，保険会社，専門家及び行政への担当 | 連絡網，受付番号，対応記録 |
一つの顧問先についても，登録情報，保存ファイル，取引データ及び認証情報のどれが対象かを分ける。
「流出可能性のある全項目」と「その本人又は顧問先について対象となった項目」を同一視しない。
第３ 認証情報，API及び証拠を点検する
１ パスワードだけで終わらせない
対象サービスのパスワードを公式手順で変更し，同一又は類似のパスワードを使っている他のサービスも変更する。
その上で，多要素認証，登録メール・電話，復旧先，継続中のセッション，連携アプリ，APIトークン，管理者権限及び退職者アカウントを確認する。
認証は利用者が誰かを確かめる仕組みであり，認可はその利用者がどの顧問先・データへアクセスできるかを決める仕組みである。
API事故では，ログインの有無だけでなく，要求ごとの認可，返却項目の最小化，利用量の異常検知及びトークンの失効を確認する。
２ 通知，ログ及び操作履歴を保全する
通知メールは完全なメールヘッダーを含む形式で保存し，公表ページはURL，閲覧日時，公表日及び更新日が分かるように保存する。
提供事業者への質問，回答，受付番号，担当者，時刻及び次回回答予定も記録する。
ログは，取得対象，開始・終了時刻，タイムゾーン，保存期間，自動削除の条件及び取得者を記録する。
「不正な取得を確認できなかった」という説明と，「不正な取得がなかった」という結論を区別し，ログの欠落又は保存期間切れも調査結果の一部として残す。
３ 税理士用電子証明書の所在と失効を確認する
税理士用電子証明書，税理士認証カード，利用登録したマイナンバーカード及びPINは，クラウドサービスの通常アカウントと別に管理する。
日本税理士会連合会は，第六世代税理士用電子証明書について，税理士認証カードを破損・紛失した場合又はPINが不明となった場合には再発行が必要と案内している。
カード又はPINの所在不明，端末侵害，又は不審な署名が疑われる場合は，単なるクラウドのパスワード変更で完了とせず，日税連の公式手順による再発行その他の必要な措置，利用端末及び送信履歴を確認する。
予備手段を準備する場合も，カードとPINを同じ場所に保管せず，権限者と利用記録を定める。
第４ e-Taxと期限管理を切り離さない
１ 税理士の認証と納税者の情報を区別する
国税庁は，税理士等が代理送信を行う場合，提出する申告等データに納税者の利用者識別番号を入力し，税理士の電子署名を付して送信する仕組みを案内している。
したがって，税理士の利用者識別番号・電子証明書，納税者の利用者識別番号，委任関係及びクラウド会計のアカウントを一つの「ログイン情報」として扱わない。
国税庁の委任関係の案内では，税理士による顧問先マイページ情報の参照には電子証明書による認証が必要であり，メッセージ共有と代理送信も同じ効果ではない。
事故時は，どの資格・権限で閲覧又は送信したかを確認し，顧問先本人の操作として扱われる機能を代理送信と誤認しない。
２ 送信結果とメッセージを独立して確認する
クラウド会計側で「送信済み」と表示されても，e-Taxの受付結果，受信通知，送信データ，税目，対象期間及び利用者識別番号を独立して確認する。
事故期間中の送信失敗，重複送信，未送信，誤った顧問先への紐付け及び通知の見落としを期限表へ反映する。
ログイン不能又は連携停止がある場合は，提供事業者の復旧見込みだけに依存せず，国税庁の公式ソフトその他の適法で確認済みの代替手段，必要資料及び担当者を検討する。
代替手段を初めて本番期限日に試すのではなく，平時に利用条件と必要な認証手段を確認する。
３ 業務継続表を顧問先ごとに作る
申告，申請，納付，給与計算，源泉徴収及び年末調整等について，期限，現在の処理段階，必要データ，代替手段，担当者及び完了証拠を一覧にする。
法定期限の具体的な取扱いは手続と事情により異なるため，障害があるだけで期限が当然に延長されると扱わず，国税庁等の最新案内を確認する。
顧問先への第一報では，セキュリティ事故の説明と，期限業務の継続・代替手段・追加資料の依頼を分ける。
不確定な原因を断定せず，現時点で確認した事実，直ちに必要な行動及び次回連絡時期を示す。
第５ マイナンバーを含むかを別に判定する
１ 個人データ一般と特定個人情報を分ける
給与，源泉徴収，法定調書等のデータに個人番号が含まれる場合，個人情報保護法だけでなく番号法と個人情報保護委員会の特定個人情報ガイドラインを確認する。
氏名や給与額が含まれることと，個人番号又は個人番号を内容に含む個人情報が含まれることを分け，マイナンバー関係資料の保存場所・暗号化・アクセス者・複製を特定する。
特定個人情報の漏えい等では，番号法上の報告・本人通知の要否と，個人情報保護法上の報告・本人通知の要否をそれぞれ判定する。
一方の報告を行ったことだけで，他方の検討を省略しない。
２ 委託元・再委託先の役割を確認する
マイナンバー事務の委託では，委託先に必要かつ適切な安全管理措置を講じさせる監督が必要となる。
クラウド提供者，給与計算の再委託先，データ入力先及び保守事業者のうち，誰が特定個人情報を取り扱えるかを契約と実際の設定で確認する。
本人通知では，漏えい等の概要，対象項目，原因，二次被害又はそのおそれ及び本人が取り得る措置を，その本人に関係する範囲で分かりやすく示す。
全顧問先・全従業員に同じ最大項目を並べるのではなく，個人別の対象項目を確認できる範囲で対応させる。
第６ 報告・通知・顧客連絡を整理する
１ 個人情報保護委員会への報告
個人データの漏えい等が，要配慮個人情報，財産的被害のおそれ，不正の目的による行為，又は本人の数が千人を超える事態に該当する場合，個人情報保護委員会への報告及び本人通知が必要となることがある。
個人情報保護委員会は，速報を概ね三日から五日以内，確報を原則三十日以内，不正の目的をもって行われたおそれがある場合の確報を六十日以内と案内している。
提供事業者が委員会へ報告したという説明だけで，税理士事務所又は顧問先の報告主体・通知主体の検討が完了したとは限らない。
契約主体，個人データの取扱主体，委託関係，漏えい等の発生場所及び提供事業者から受けた事実を整理して判断する。
２ 顧問先と本人への説明
顧問先への連絡では，①対象サービスと期間，②当該顧問先について対象となったデータ，③確認済みの閲覧・取得・改変又は利用不能，④実施済みの封じ込め，⑤顧問先又は本人に求める行動，⑥期限業務への影響，⑦次回更新時期を示す。
対象件数，アカウント数，データ行数及び本人の数を混同しない。
パスワードが対象と公表された場合は，保存方式が確認できたかを分け，確認できていないのに平文保存又は安全なハッシュ化と断定しない。
リセットが予定・実施中・完了のどの段階かを統一して表示し，個別メール，FAQ及びログイン画面の説明が変わった場合は更新履歴を残す。
第７ 保存義務と不要な複製を分ける
１ 税理士法４１条の帳簿
税理士法４１条は，税理士業務に関する帳簿を委嘱者別・一件ごとに作成し，閉鎖後五年間保存することを定めている。
この法定帳簿の保存義務と，クラウドから出力した作業用ファイル，OCR用画像，メール添付，端末のダウンロードフォルダ及びバックアップの保存期間を同一にしない。
法定保存の対象・起算点・形式を確認し，それ以外の複製は利用目的，紛争・監査上の必要性，削除の安全性及び顧問先との契約に基づいて期間を定める。
「念のため永久保存」は，漏えい時の対象範囲を広げ，どれが正本か分からなくする。
２ 削除と証拠保全を両立させる
平時には，保存場所，正本，複製，保存期限，削除担当及び削除証跡をデータ区分ごとに定める。
事故発覚後は，通常の自動削除又は整理を直ちに続けるとログ・証拠を失うことがあるため，保全対象と通常業務データを分けて一時保全の要否を判断する。
契約終了時は，顧問先が必要なデータと正規の管理権限を保持することを確認し，事務所・職員・提供事業者・再委託先の残存複製を処理する。
削除したという回答だけでなく，対象，時期，方法，例外及び証跡を確認する。
第８ 提供事業者への質問と契約の見直し
１ 提供事業者へ確認する事項
提供事業者には，①発生日・発見日・封じ込め日，②侵入又は設定不備の経路，③対象機能・API・アカウント，④対象データ項目・期間・件数の数え方，⑤顧問先別の対象確認方法，⑥認証情報の保存方式，⑦ログの範囲・保存期間・欠落，⑧実施済み対策，⑨第三者調査の範囲，⑩次回更新時期を確認する。
回答は，確認済み事実，技術上可能だった範囲，推定及び不明に分けてもらう。
「完全に安全」「漏えいなし」等の結論だけでなく，調査対象，対象期間，利用したログ及び限界を確認する。
サービス再開の判断と，過去のデータ取得の有無の判断は別に記録する。
２ 契約と平時の台帳へ戻す
契約には，事故の定義，第一報の期限，顧問先別情報の提供，ログ保全・提供，フォレンジック協力，再委託先，復旧目標，データ返還・削除，費用負担及び対外公表の調整を定める。
利用規約だけで不足する事項は，個別契約，仕様書又は運用合意で補う。
平時の台帳では，サービス名，契約主体，管理者，顧問先，データ区分，API連携，認証・復旧，ログ，バックアップ，保存期間，契約通知期限及び代替手段を対応させる。
事故対応後は，原因の修正だけでなく，台帳・契約・教育・机上訓練に反映したことを確認する。
第９ 税理士事務所の確認チェックリスト
直ちに，公式経路で通知を確認し，不審な通信・セッション・アカウントを止め，通知，ログ及び操作履歴を保全する。
パスワード，APIトークン，管理者権限，税理士用電子証明書及びPINは別々に影響を判定する。
当日中に，顧問先別の影響表，申告・納付・給与等の期限表，マイナンバー関係資料の有無，提供事業者への質問，行政報告・本人通知・顧客連絡の担当を確定する。
受信通知と送信結果を独立して照合し，代替手段を準備する。
その後，第三者調査の更新，顧問先別の対象項目，報告・通知，契約・保険，保存・削除，権限棚卸し及び再発防止策を管理する。
外部公表，個別通知及び顧問先への業務連絡は目的と対象が異なるため，同じ文章をそのまま流用しない。
第１０ 関連記事
個人情報保護委員会が示した不正アクセス９類型―API，クラウド，グループ会社，個人領域及びログ管理は，技術・運用上の原因と対策を整理している。
情報漏洩が相次ぐ今，企業の信頼を守る法務の備えは，平時の体制，発覚後の初動，報告，本人通知及び公表を企業法務の順序で扱っている。
個人情報漏えいの通知を受けたらは，通知を受けた本人側の対処と証拠保存を扱っている。
税理士事務所で生成AIを使うときの入力資料の分け方は，顧客資料，国税庁の公表資料及び有料税務解説の入力区分を扱っている。
第１１ 出典
①e-Gov法令検索「税理士法」４１条
https://laws.e-gov.go.jp/law/326AC1000000237
②e-Gov法令検索「個人情報の保護に関する法律」２２条から２６条まで
https://laws.e-gov.go.jp/law/415AC0000000057
③個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
④個人情報保護委員会「漏えい等の対応とお役立ち資料」
https://www.ppc.go.jp/personalinfo/legal/leakAction/
⑤個人情報保護委員会「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」
https://www.ppc.go.jp/legal/policy/my_number_guideline_jigyosha/
⑥国税庁e-Tax「税理士等による代理送信は，マイナンバーカード方式やID・パスワード方式の対象ですか。」
https://www.e-tax.nta.go.jp/toiawase/qa/yokuaru08/15.htm
⑦国税庁e-Tax「委任関係の登録について」
https://www.e-tax.nta.go.jp/uketsuke/delegation_relationships.htm
⑧日本税理士会連合会「よくある質問と回答（第六世代電子証明書）」
https://www.nichizeiren.or.jp/taxaccount/auth/psa6th_faq/