第１ 本記事の対象
本記事は，日本弁護士連合会の弁護士情報セキュリティ規程（令和4年6月10日会規第117号）について，全7条の内容，各弁護士に策定が求められる「基本的な取扱方法」及び情報の漏えい等の事故が起きた場合の対応を，条文に沿って説明するものである。
あわせて，弁護士法23条の秘密保持義務，弁護士職務基本規程及び個人情報の保護に関する法律（以下「個人情報保護法」という。）との関係を整理する。
本記事の記載は，令和8年9月13日時点で確認できた規程の原文，法令及び公表資料に基づく。
規程の条文は，日本弁護士連合会のウェブサイトで公開されている。
他方，日弁連新聞第601号によれば，日本弁護士連合会は「解説 弁護士情報セキュリティ規程」及び「情報セキュリティを確保するための基本的な取扱方法について」（いずれも2023年3月）等を作成し，会員専用サイトで基本的な取扱方法の例を提供している。
本記事は，これらの会員向け資料の内容には依拠していない。
第２ 制定と施行
１ 制定と施行の日
規程は，令和4年6月10日の日本弁護士連合会の定期総会で可決された。
日弁連新聞第580号は，討論では規程による義務化への疑問や時期尚早との反対意見が出された一方で，情報セキュリティの確保に組織を挙げて取り組むべきであるとの賛成意見が出され，採決の結果，賛成多数で可決されたと報じている。
規程の附則は，「この規程は、成立の日から起算して二年を超えない範囲内において理事会で定める日から施行する。」と定めている。
令和6年1月19日の理事会決議により，規程は令和6年6月1日から施行された。
２ 規程の名宛人
規程1条は，目的について「この規程は、弁護士、弁護士法人、外国法事務弁護士、外国法事務弁護士法人及び弁護士・外国法事務弁護士共同法人（以下「弁護士等」という。）がその職務上取り扱う情報の情報セキュリティを確保するために必要な事項を定めることを目的とする。」と定めている。
義務を負うのは法律事務所ではなく，個々の弁護士等である。
法律事務所の規模は，後述の3条2項において，定める内容を左右する考慮要素として現れる。
３ 規程に違反した場合
規程自体には，違反した場合の効果を定める条文はない。
日弁連新聞第601号は，基本的な取扱方法を施行日までに策定することが義務とされており，策定していなければ会規違反になると説明している。
弁護士法56条1項は，弁護士が日本弁護士連合会の会則に違反したことを懲戒事由の一つとしている。
そして，日本弁護士連合会会則29条1項は，「弁護士は、所属弁護士会及び本会の会則、会規及び規則を守らなければならない。」と定めている。
したがって，会規である規程に違反することは，会則29条1項の違反として，弁護士法56条1項の懲戒事由に当たり得ると考えられる。
もっとも，懲戒をするのは所属弁護士会であり（同条2項），実際に懲戒の対象となるかは違反の内容や程度によって判断されることになる。
規程違反を理由とする懲戒の公表例は，本記事では確認していない。
第３ 「情報セキュリティ」と「取扱情報」の定義（2条）
１ 機密性・完全性・可用性
規程2条1項は，「この規程において「情報セキュリティ」とは、次に掲げる特性が維持された状態をいう。」とし，次の3つを挙げている。
①機密性：「情報に関して、アクセスを認められた者だけがアクセスできる特性をいう。」
②完全性：「情報が破壊、改ざん又は消去されていない特性をいう。」
③可用性：「情報へのアクセスを認められた者が、必要時に中断されることなく、情報にアクセスできる特性をいう。」
したがって，情報が外部に漏れないこと（機密性）だけでなく，改ざんや誤った消去がないこと（完全性）と，必要なときに使えること（可用性）も，規程が守ろうとする対象である。
ランサムウェアによって事件記録が暗号化されて使えなくなる事態は，情報が外部に出ていなくても，可用性が損なわれた状態に当たる。
東京弁護士会の機関誌「LIBRA」令和8年9月号の特集は，総務省等の公的機関もこの3つの要素によって情報セキュリティを定義しており，規程2条1項もこの定義に従っていると説明している。
２ 取扱情報
(1) 紙の記録も含まれる
規程2条2項は，「この規程において「取扱情報」とは、弁護士等がその職務上取り扱う情報（紙、電磁的記録等その保管媒体を問わない。）をいう。」と定めている。
サイバーセキュリティ基本法2条の「サイバーセキュリティ」が電磁的方式により記録され，又は送受信される情報を対象とするのに対し，規程の取扱情報には紙の事件記録も含まれる。
紙の記録の紛失や誤送付も，規程の対象である。
(2) 除かれる情報
同項ただし書は，「前項各号に掲げる特性をいずれも維持する必要がないことが明らかな情報を除く。」と定めている。
除かれるのは，機密性だけでなく，完全性及び可用性も維持する必要がないことが明らかな情報に限られる。
公表済みの判決文のように機密性を守る必要がない情報でも，改ざんされずに必要なときに使えることには意味があるから，このただし書によって除かれる範囲は狭いと考えられる。
第４ 基本的な取扱方法の策定（3条）
１ 危険の把握と策定の義務
(1) 危険を把握する努力義務（3条1項）
規程3条1項は，「弁護士等は、その職務を行うに当たり、取扱情報の種類、性質等に応じた情報セキュリティに対する危険を把握するよう努めなければならない。」と定めている。
この項は「努めなければならない」という努力義務の形をとっている。
(2) 基本的な取扱方法を定める義務（3条2項）
規程3条2項は，「弁護士等は、前項の規定により把握した危険を踏まえ、所属する法律事務所等の規模及び業務の種類、態様等に応じて、取扱情報の情報セキュリティを確保するための基本的な取扱方法を定めなければならない。」と定めている。
こちらは「定めなければならない」という義務の形であり，規程の中心となる義務である。
何をどこまで定めるかは，法律事務所の規模や取り扱う業務によって変わるが，定めること自体は規模にかかわらず求められている。
２ 配慮すべき4つの事項（3条3項）
規程3条3項は，基本的な取扱方法を定めるに当たって，次の4つの事項に「配慮するものとする」と定めている。
①「次条に規定する安全管理措置の具体的内容」
②「第五条に規定する情報のライフサイクル管理の方法」
③「第六条に規定する点検及び改善の方法」
④「第七条に規定する漏えい等事故が発生した場合の対応の方法」
4つの事項は，それぞれ規程4条から7条に対応している。
したがって，基本的な取扱方法は，4条から7条の内容を自分の事務所に当てはめた文書として作ることになる。
３ 策定の実務
(1) 日本弁護士連合会のサンプル
日弁連新聞第601号によれば，日本弁護士連合会は，会員専用サイトで，弁護士1人の場合と複数人の場合の2パターンの基本的な取扱方法の例を提供しており，これを活用すれば約30分程度で事務所独自の基本的な取扱方法が完成するとしている。
法律事務所の中には，策定した基本的な取扱方法を自らのウェブサイトで公表しているところもあるが，規程は公表までは求めていない。
(2) 書き込んでおくとよい事項
規程が求める4つの事項に加えて，本記事では，次の事項を基本的な取扱方法に書き込んでおくことが考えられると整理する。
①依頼者との連絡に使う手段（電子メール，チャット，クラウドサービス）と，添付ファイルの送り方
②生成AIを業務に使う場合に，入力してよい情報と使ってよいサービス
③パソコンやスマートフォンの紛失，ウイルス感染及び誤送信が起きたときの連絡先と最初の対応
④事務職員等への周知と研修の方法
①については，前記のLIBRAの特集が，パスワードを設定したファイルを電子メールで送り，2通目の電子メールでパスワードを送る方法は安全ではなく，ほとんど意味がないと考えられているとし，電話やSMSなど電子メール以外の方法でパスワードを伝える方法やクラウドサービスの利用を挙げている。
②については，学習オフ設定のClaudeコード及びGoogle AI Ultraの利用は弁護士の守秘義務等に違反しないという個人的意見，中国製AIの利用は弁護士の守秘義務に違反するか―DeepSeekと利用形態別の判断及びGemini Enterprise for Legalは日本の弁護士業務に活用できるか―Preview条項と導入条件で扱っている。
第５ 安全管理措置と事務職員等（4条）
１ 4つの安全管理措置
(1) 規程4条1項の定め
規程4条1項は，「弁護士等は、自らの業務に係る取扱情報に関する情報セキュリティの責任者として、この規程に基づき、取扱情報の種類、性質等に応じた必要な管理体制を整備し、組織的、人的、物理的及び技術的な安全管理措置を講ずるものとする。」と定めている。
弁護士等は，自分の業務の取扱情報について，自ら責任者の立場に立つことになる。
(2) 個人情報保護法の安全管理措置との重なり
個人情報保護法は，「個人情報データベース等を事業の用に供している者」を個人情報取扱事業者とし（同法16条2項），個人情報取扱事業者に，個人データの漏えい，滅失又は毀損の防止その他の安全管理のために必要かつ適切な措置を講じる義務を課している（同法23条）。
依頼者や相手方の情報を検索できる形で管理している法律事務所では，弁護士等は個人情報取扱事業者にも当たり得るから，規程4条1項の安全管理措置と個人情報保護法23条の安全管理措置は，多くの場面で重なる。
もっとも，規程は個人データに限らず，法人の営業秘密や事件の方針のような個人情報でない情報も対象としている。
２ 事務職員や司法修習生
規程4条2項は，「弁護士等は、事務職員、司法修習生その他の自らの職務に関与させる者（以下「事務職員等」という。）に対して、情報セキュリティを確保するための必要な対策を講じさせなければならない。」と定めている。
弁護士職務基本規程19条も，事務職員，司法修習生その他の自らの職務に関与させた者が，業務に関して知り得た秘密を漏らし，又は利用することのないように指導及び監督をしなければならないと定めている。
司法修習生の側から見た情報管理の注意点は，司法修習生の情報セキュリティ対策―裁判修習の旧通知とパソコン・生成AIの確認事項で扱っている。
３ 研鑽と教育
規程4条3項は，「弁護士等は、自ら又は事務職員等の情報セキュリティに対する知識を涵養し、高度情報化社会に伴う取扱情報の電子化に対応するため、研鑽及び教育に努めなければならない。」と定めている。
この項も努力義務の形であるが，事務職員等を含めた教育を求めている点に特徴がある。
第６ 情報のライフサイクル管理と点検・改善（5条・6条）
１ 作成から廃棄まで（5条）
規程5条は，「弁護士等は、取扱情報の作成、取得、保管、利用、提供、運搬、送信及び廃棄の各段階で、情報セキュリティが確保されるよう取扱情報を取り扱わなければならない。」と定めている。
弁護士職務基本規程18条も，「弁護士は、事件記録を保管し、又は廃棄するに際しては、秘密及びプライバシーに関する情報が漏れないように注意しなければならない。」と定めている。
規程5条は，保管と廃棄に加えて，作成，取得，利用，提供，運搬及び送信の段階まで対象を広げている。
２ 点検と改善（6条）
規程6条は，「弁護士等は、取扱情報の情報セキュリティを持続的に確保するため、法改正、技術的進歩その他社会環境の変化及び自らの職務遂行体制の変化に応じて、基本的な取扱方法に定める安全管理措置及び情報のライフサイクル管理の方法が適切に機能しているかを点検し、必要に応じてこれらに改善を加えるよう努めなければならない。」と定めている。
一度作った基本的な取扱方法をそのままにせず，技術や業務の変化に合わせて見直すことを求める趣旨である。
例えば，Windows 10のサポートが2025年10月14日に終了したこと，生成AIを業務に使い始めたこと及び令和8年5月21日から訴訟代理人による民事訴訟の申立て等がオンラインで行われるようになったこと（民事訴訟法132条の11）は，いずれも見直しのきっかけになると考えられる。
第７ 漏えい等事故が起きたとき（7条）
１ 規程7条の定め
規程7条は，「弁護士等は、取扱情報の漏えい、滅失、毀損等の事故が発生した場合には、その影響範囲の把握に努め、必要に応じ、被害の拡大防止、原因調査、再発防止策の検討その他の措置を講じなければならない。」と定めている。
対象は漏えいに限られず，滅失や毀損も含まれる。
「影響範囲の把握」とは，本記事の整理では，どの依頼者のどの情報が，誰の手に渡り又は使えなくなったか，それがいつからいつまでの間のことかを確かめることである。
２ 個人情報保護法による報告と本人通知
(1) 個人情報保護委員会への報告と本人への通知
規程7条は，事故が起きたときの報告先を定めていない。
他方，弁護士等が個人情報取扱事業者に当たる場合には，個人データの漏えい，滅失，毀損等で個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定める事態が生じたときは，個人情報保護委員会への報告と本人への通知が必要になる（個人情報保護法26条1項・2項）。
同規則7条は，①要配慮個人情報が含まれる個人データ（高度な暗号化その他の措置を講じたものを除く。）の漏えい等，②財産的被害が生じるおそれがある個人データの漏えい等，③不正の目的をもって行われたおそれがある行為による個人データの漏えい等，④本人の数が1000人を超える漏えい等を挙げ，いずれも「発生したおそれがある事態」を含むとしている。
報告は，事態を知った後速やかに行い，知った日から30日以内（③の場合は60日以内）に所定の事項を報告しなければならない（同規則8条）。
(2) 依頼者から取扱いの委託を受けた個人データ
依頼者から個人データの取扱いの委託を受けていると評価できる場合には，委託元である依頼者に速やかに通知すれば，個人情報保護委員会への報告は要しない（個人情報保護法26条1項ただし書，同規則9条）。
ただし，委託元の報告義務は残るから，依頼者に早く正確な情報を伝えることが，依頼者自身の義務の履行にもつながる。
委託元の側から見た報告と本人通知の手順は，外部委託先で個人情報が漏えいした場合の委託元の対応―報告，本人通知及び委託先監督で扱っている。
３ 依頼者への報告
弁護士職務基本規程36条は，「弁護士は、必要に応じ、依頼者に対して、事件の経過及び事件の帰趨に影響を及ぼす事項を報告し、依頼者と協議しながら事件の処理を進めなければならない。」と定めている。
事件記録の漏えいや，事務所のシステムが使えなくなったことにより期限が危うくなった事態は，事件の帰趨に影響を及ぼし得る事項であるから，影響範囲の把握と並行して依頼者に報告することが考えられる。
事務所のメールやシステムが使えなくなった場合の期限管理は，法律事務所がランサムウェアに感染したときの期限管理―メール不達による期間徒過と知財高裁平成３１年３月１８日判決で，漏えいした個人の損害賠償の水準は，個人情報漏えいの慰謝料はいくらか―ベネッセ事件最高裁判決と裁判例の認容額で扱っている。
４ mintsへの誤提出
mintsで訴訟記録を誤って提出した場合の裁判所への連絡と，個人情報保護委員会への報告の要否は，訴訟記録の誤提出と個人情報漏えい―弁護士の守秘義務と委員会報告の要否で扱っている。
第８ 秘密保持義務との関係
１ 弁護士法23条と弁護士職務基本規程23条
弁護士法23条は，「弁護士又は弁護士であつた者は、その職務上知り得た秘密を保持する権利を有し、義務を負う。」と定めている。
弁護士職務基本規程23条は，「弁護士は、正当な理由なく、依頼者について職務上知り得た秘密を他に漏らし、又は利用してはならない。」と定めている。
これらの規定は秘密を漏らしてはならないという結果を定めるものであるのに対し，規程は，秘密を漏らさないための管理の仕組みを作ることを定めるものであり，両者は目的を共通にしつつ役割を分けていると整理できる。
守秘義務そのものの範囲と例外は，弁護士の守秘義務で扱っている。
２ 機密性以外の要素
秘密保持義務は主に機密性に関わるが，規程は完全性と可用性も対象とする。
個人情報保護法の安全管理措置について，機密性に関する措置と，滅失・毀損に関する措置の釣合いを検討した記事として，個人情報保護法の安全管理措置は機密性に偏っているか――情報セキュリティ３要素のバランスと報告義務の構造がある。
事件記録のバックアップや，システムが止まったときに業務を続ける方法も，規程の下では基本的な取扱方法の対象になると考えられる。
第９ 出典・参考資料
１ 規程・会規
①日本弁護士連合会「弁護士情報セキュリティ規程」（令和4年6月10日会規第117号，令和6年6月1日施行）1条～7条及び附則
②日本弁護士連合会「弁護士職務基本規程」（平成16年11月10日会規第70号）18条，19条，23条及び36条
③日本弁護士連合会「日本弁護士連合会会則」29条1項
２ 法令
①e-Gov法令検索「弁護士法」23条及び56条
②e-Gov法令検索「個人情報の保護に関する法律」16条，23条及び26条
③e-Gov法令検索「個人情報の保護に関する法律施行規則」7条～9条
④e-Gov法令検索「サイバーセキュリティ基本法」2条
⑤e-Gov法令検索「民事訴訟法」132条の11
３ 日本弁護士連合会・弁護士会の機関紙誌
①日弁連新聞第580号（2022年6月）「弁護士情報セキュリティ規程制定を可決」
②日弁連新聞第601号（2024年）「「弁護士情報セキュリティ規程」が施行されます」
③東京弁護士会「LIBRA」Vol.26 No.9（2026年9月）2頁～13頁，特集「フェーズ3時代の到来―弁護士が知っておくべきサイバーセキュリティの12のポイント」（弁護士業務妨害対策特別委員会）