第１ 本記事の結論
法律事務所及び税理士事務所が情報セキュリティ対策を見直す場合，最初から特定の製品を選ぶのではなく，守る業務と情報を洗い出し，IPAの公的な自己点検で不足を把握し，不足を補うサービスの範囲を決めるという順序が分かりやすい。
IPAの「情報セキュリティ６か条」及び「５分でできる！情報セキュリティ自社診断」は，その出発点として利用できる。
「サイバーセキュリティお助け隊サービス」は，相談窓口，異常監視，事案発生時の初動対応及び簡易サイバー保険等をワンパッケージにした民間サービスについて，IPAの基準への適合性を審査して登録する制度である。
もっとも，登録は，個々の事務所の全端末・クラウド・認証基盤を網羅すること，個人情報保護法，弁護士又は税理士の守秘義務その他の法令・会規への適合性，事故時の損害が全額補償されることまで保証するものではない。
したがって，導入時には，①何を監視するか，②誰がアラートを判定するか，③駆付けを含む初動支援の条件，④ログ及び証拠の保全，⑤簡易サイバー保険の補償範囲，⑥バックアップと復元試験，⑦再委託先・データ保存場所・契約終了時のデータ取扱いを，見積書だけでなく契約書及びサービス仕様書で確認する必要がある。
第２ 公的な自己点検の使い方
１ 情報セキュリティ６か条
IPA「中小企業の情報セキュリティ対策ガイドライン第４．０版」は，企業規模にかかわらず実行すべき基本対策として，①ソフトウェアを最新に保つ，②ウイルス対策ソフトを導入する，③パスワードを強化する，④共有設定を見直す，⑤バックアップを取得する，⑥脅威や攻撃の手口を知るという「情報セキュリティ６か条」を示している。
これは法令の条文ではなく，中小企業等が具体的な対策を始めるための公的な実務資料である。
第５のバックアップについて，同ガイドラインは，対象，取得方法及び取得間隔を決めるだけでなく，保管場所，世代，保管期間並びに復旧計画及び復元確認まで検討するよう示している。
法律・税理士事務所では，事件記録又は申告資料がコピーされているというだけでなく，通常のクラウド認証や事務所ネットワークが使えない状況でも，期日管理表，依頼者又は顧客の連絡先，預り金又は納税関係資料及び直近の作業データを必要な時間内に取り出せるかを試す必要がある。
バックアップ，完全性及び可用性を個人情報保護法との関係で点検する方法は，「個人情報保護法の安全管理措置は機密性に偏っているか――情報セキュリティ３要素のバランスと報告義務の構造（AI作成）」を参照されたい。
２ ２５項目の自社診断
同ガイドラインの「５分でできる！情報セキュリティ自社診断」は，基本方針，電子メール，パスワード，機器・ソフトウェア，データ保管，従業者教育，取引先その他の項目を２５問で点検する仕組みである。
回答は，「実施している」を４点，「一部実施している」を２点，「実施していない」を０点，「わからない」をマイナス１点として集計する。
点数は，事務所の安全性を第三者が保証する認証ではない。
とりわけ「わからない」は，単なる低得点ではなく，契約，設定，管理者又は委託先の役割を事務所が把握できていないことを示すため，優先的に調べる対象となる。
３ 民間の簡易診断及び監査との違い
| 種類 | 位置付け | 結果の使い方 |
|---|---|---|
| IPAの自社診断 | 公的ガイドラインに基づく自己点検 | 未実施・一部実施・不明の項目を改善計画へ移す |
| 民間事業者の簡易診断 | 質問回答に基づく課題整理又はサービス提案 | 質問，評価基準及び提案との利害関係を確認する |
| 外部監査・技術診断 | 契約した範囲で第三者が証跡又はシステムを検証 | 対象範囲，基準，検証方法，除外事項及び再試験を確認する |
民間サイトの診断結果は，対策のきっかけにはなるが，個人情報保護法上の安全管理措置が十分であること又は弁護士・税理士の職業上の義務を満たすことを証明するものではない。
診断を受ける際には，依頼者又は顧客の氏名，事件・申告内容，システムの詳細構成，認証情報その他の機密情報を，必要性と送信先を確認しないまま入力しないことも重要である。
第３ サイバーセキュリティお助け隊サービスの制度
１ 登録制度の対象
IPA「サイバーセキュリティお助け隊サービス基準２．１版」は，１類のサービスについて，相談窓口，異常の監視，事案発生時の初動対応，簡易サイバー保険その他の要求をワンパッケージで提供することを求めている。
利用者から要請があった場合の駆付け支援，契約書及び分かりやすい説明資料における保険の補償内容・支払限度額・免責金額等の明示，提供地域及び価格の上限等も基準に含まれる。
２類は，１類の要件を基礎に，より広い機能又は支援を追加する類型である。
１類か２類かという名称だけで選ばず，事務所が必要とする端末，ネットワーク，クラウド及び拠点が実際の契約範囲に含まれるかを確認する必要がある。
２ 監視方式
IPAの利用者向けサイトは，監視方式を，ネットワーク監視，端末監視及び両者の併用に分けている。
ネットワーク監視は事務所の出入口の通信を把握するのに向くが，事務所外でクラウドへ直接接続するノートパソコン又はスマートフォンの挙動を同じ範囲で把握できるとは限らない。
端末監視は各端末の不審な挙動を検知できる一方，対象外の端末，複合機，NAS，個人所有機器又はクラウド管理画面まで当然に監視するものではない。
監視の導入前には，事務所内外の端末，NAS，サーバー，ルーター，複合機，メール，クラウドストレージ，会計・税務ソフト，電子申告，オンライン会議，ウェブサイト及びドメインを一覧にし，監視対象，対象外及び別の管理方法を対応させる。
サーバー，NAS，クラウドストレージ及びDNSの役割の違いは，「サーバー・NAS・クラウドストレージ・DNSの違い―法律事務所のIT基礎（AI作成）」で説明している。
３ 駆付け，初動支援及び保険
IPAの制度FAQは，利用者が現地対応を要請した場合について，遠隔支援だけで駆付け支援に代えることはできないとの考え方を示している。
もっとも，対応時間，対象地域，回数，追加費用，休日・夜間対応，機器交換又はフォレンジック調査を含むかは，個別の契約で確認する必要がある。
簡易サイバー保険については，事故対応費用，原因調査，通知・謝罪，休業損失，第三者への賠償その他のどこまでが補償されるか，支払限度額，免責金額，縮小支払，事前承認，事故通知期限及び対象外事由を確認する。
「保険付き」という表示だけで，依頼者又は顧客への全ての損害，身代金，データ復旧費用又は弁護士・税理士の職業賠償が補償されると理解してはならない。
第４ 法律事務所及び税理士事務所で優先する事項
１ 共通する情報資産
両事務所は，個人情報だけでなく，依頼者又は顧客の秘密，身分・家族・病歴・資産・負債・取引・紛争に関する資料，マイナンバー，認証情報及び電子署名に関係する情報を取り扱う。
漏えいだけでなく，データの改ざん，期限管理情報の欠落，メール又は電子申告の停止，バックアップからの復元不能も業務に重大な影響を及ぼす。
最初に，情報の機密性，完全性及び可用性を分け，その情報が失われた場合に生じる期限，財産，身柄，申告・納付及び説明責任への影響を評価する。
技術的な対策だけでなく，責任者，連絡網，代替担当，紙又は別経路による期限管理及び事故時の意思決定者も決める必要がある。
２ 法律事務所
弁護士及び法律事務所には，個人情報保護法に加えて，日本弁護士連合会の弁護士情報セキュリティ規程が適用される。
同規程は，情報セキュリティを機密性，完全性及び可用性が維持された状態と定義し，漏えい，滅失又は毀損等の事故について，影響範囲の把握，被害拡大の防止，原因調査及び再発防止策の検討等を求めている。
監視サービスを導入しても，受任事件ごとのアクセス権，裁判所その他への提出期限，依頼者への連絡，刑事事件記録，預り金資料及び退職者・外部委託先の権限管理は，事務所自身が整備しなければならない。
３ 税理士事務所
税理士法３８条は，税理士が税理士業務に関して知り得た秘密を，正当な理由なく漏らし，又は窃用することを禁止している。
税理士事務所では，申告書，決算・給与資料，取引データ，マイナンバー，利用者識別番号，電子証明書，電子署名及び会計・税務クラウドの管理権限を，情報資産として個別に管理する必要がある。
電子申告の送信権限又は電子証明書を誰が使用できるか，退職・休職・外部委託終了時に権限をどう止めるか，受付結果及び送信データをどこへ保管するか，期限当日にシステム又は通信障害が起きた場合に誰が判断するかを，平時に確認する。
お助け隊サービスの監視対象に会計・税務クラウドや電子申告のアカウント管理が含まれない場合は，多要素認証，管理者権限の分離，利用履歴の確認及び代替手順を別に整備する。
第５ 比較と契約のチェック項目
| 項目 | 確認する内容 |
|---|---|
| 対象範囲 | 拠点，回線，端末，持出端末，NAS，複合機，クラウド及び管理画面のうち何を監視するか |
| アラート | ２４時間の機械監視か，人が判定する時間帯，連絡方法，緊急度区分及び連絡不能時の扱い |
| 初動支援 | 遠隔・現地の条件，受付時間，回数，地域，追加費用，隔離・停止・復旧の権限及び責任者 |
| 証拠保全 | ログの種類，時刻，保存期間，取得形式，改変防止，提出期限及び外部調査会社との連携 |
| 保険 | 補償項目，限度額，免責，事前承認，通知期限，除外事由及び他の保険との関係 |
| バックアップ | 対象，間隔，世代，保管期間，切離し，暗号化，復旧担当，直近の復元試験及び所要時間 |
| 委託・再委託 | 契約主体，再委託先，保存・処理国，管理者アクセス，秘密保持及び事故通知 |
| 終了時 | ログ・データの返還又は消去，エクスポート形式，機器撤去，アカウント停止及び移行支援 |
提供事業者の説明は，確認済みの事実，事業者の主張，そこからの推測及び未確認事項を分けて記録する。
「２４時間監視」，「駆付け」，「保険付き」等の表示についても，実際の契約条件と照合し，曖昧な項目は質問と回答を保存する。
第６ 導入から運用までの手順
１ 導入前
まず，IPAの２５項目で自己点検を行い，０点又はマイナス１点の項目を一覧にする。
次に，事務所の情報資産及び業務を一覧化し，想定する事故，業務影響，現在の対策，改善責任者及び期限を対応させる。
その上で，IPAの登録一覧及び監視種別サービス一覧から候補を選ぶ。
登録サービス及び価格の一覧は頻繁に更新されるため，古い比較記事又はパンフレットだけで決めず，契約直前にIPA公式サイト及び提供事業者の最新の契約書・仕様書を確認する。
２ 契約時
契約書，約款，サービス仕様書，保険の説明資料及び見積書の相互関係を確認し，どの文書が優先するかを明らかにする。
事故の第一報期限，連絡先，利用者と提供事業者の作業分担，ログ保全，現地対応，追加費用，公表・本人通知への協力，再委託及び終了時のデータ取扱いを具体化する。
IPA登録マークを表示していることと，見積りをした事業者又は再販協力会社が契約上どの役割を負うかは別の問題である。
請求元，監視主体，駆付け主体，保険契約者又は被保険者及び事故時の窓口を分けて確認する。
３ 導入後
導入後は，監視装置又はソフトが作動していることだけで完了とせず，テストアラート，連絡網，隔離判断，ログ取得及び復元を訓練する。
端末・職員・拠点・クラウドの追加，契約変更又は新たな脅威が生じた場合には，監視対象と自己診断を更新する。
少なくとも年１回及び重大な構成変更の後に，２５項目の再診断，権限棚卸し，連絡先確認，バックアップの復元試験並びに事故対応訓練を行い，未達事項の責任者と期限を記録することが望ましい。
ただし，この頻度は本記事が示す運用例であり，一律の法定頻度ではない。
第７ 法令・職業規範との関係
個人情報保護法２３条は，個人データの漏えい，滅失又は毀損の防止その他の安全管理のために必要かつ適切な措置を求めている。
同法２５条は，個人データの取扱いを委託する場合，委託先に必要かつ適切な監督を行うよう求めている。
どの製品又はサービスを導入すれば義務を履行したことになるかは，法令に一律に定められていない。
取り扱う情報，事務所の規模・業務，アクセス権限，既知の脅威，費用及び実施可能性等に応じ，技術的・組織的・人的・物理的な措置を組み合わせる必要がある。
お助け隊サービスは，専門人材や予算が限られる事務所が，相談，監視，初動及び保険を確保する一つの選択肢である。
しかし，サービスの導入は，事務所自身によるデータ分類，権限管理，従業者教育，バックアップ，委託先監督，事故時の法的判断及び依頼者・顧客への説明を代替しない。
第８ 提供文書と一次資料の区別
Biz Clipの記事は，狙われやすい企業の特徴，セミナー講師の説明及びお助け隊サービスの概要を読みやすく整理した二次資料である。
「狙われる特徴１０選」という分類，講師の評価又は導入を勧める説明は，Biz Clip又は講師側の整理であり，IPAのガイドライン又はサービス基準に同じ表現で定められた法的要件ではない。
本記事の６か条，２５項目の採点方法及びバックアップの運用項目はIPA「中小企業の情報セキュリティ対策ガイドライン第４．０版」に，お助け隊サービスの構成・登録要件はIPA「サイバーセキュリティお助け隊サービス基準２．１版」及び制度FAQに遡って確認した。
個人情報保護法上の安全管理措置は法令及び個人情報保護委員会ガイドラインに，法律事務所の職業規範は日本弁護士連合会の会規に基づく。
本記事の中心は，公的ガイドライン及び登録基準を用いた予防・契約実務であり，特定の裁判例の射程を論じるものではない。
そのため，判例秘書による裁判例の裏付けを根拠とする命題は含めていない。
第９ 出典・参考資料
１ 一次資料・公的資料
IPA「中小企業の情報セキュリティ対策ガイドライン第４．０版」
IPA「サイバーセキュリティお助け隊サービス ユーザー向けサイト」
IPA「サイバーセキュリティお助け隊サービス制度に関するFAQ」
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
２ 二次資料
Biz Clip「サイバー攻撃者に狙われやすい企業の特徴１０選」