第１ 結論―多層的な対策は確認できるが，耐性が実証済みとはいえない
mintsについては，ISMAPで安全性が評価されたクラウドサービスの利用，ウイルス対策，ファイアウォール，不正侵入検知，WAF，保管データ及び通信の暗号化，パスワード要件並びに二要素認証が公表されている。
TreeeS等に関係する令和７年７月２日付の最高裁判所の調達仕様書からは，当該改修等業務の受注者に裁判所の情報セキュリティ関係通達・対策基準等の遵守を求め，これらが政府機関等のサイバーセキュリティ対策のための統一基準群等に準拠するとされているほか，脆弱性診断，監査対応及びサプライチェーン管理等を求めていることが確認できる。
これらは，攻撃を予防し，侵入を検知し，情報を読み取られにくくするための重要な多層防御である。
しかし，今回確認した公表資料だけでは，mints又はTreeeSの本番環境について，個別の設定，脆弱性診断・侵入試験・監査の結果，AIを利用する攻撃を想定したレッドチーム演習，検知・封じ込め・復旧の所要時間，バックアップからの復元実績及びインシデント件数を確認できない。
したがって，「守るための仕組みと要求は確認できるが，AIを活用したあらゆるサイバー攻撃から事件記録を守れることが公表資料で実証されているとはいえない」というのが，本記事の結論である。
第２ AIを活用したサイバー攻撃とは何か
１ 新しい攻撃類型だけを意味しない
AIを活用したサイバー攻撃には，攻撃者が生成AI等を用いて巧妙な詐欺メールを作成すること，標的型攻撃を半自動化すること，脆弱性の探索その他の攻撃実行を容易化・高速化することなどが含まれ得る。
国土交通省が令和８年５月に公表した「AI性能の高度化を踏まえたサイバーセキュリティ対策の強化について」は，AIによってサイバー攻撃の高度化，高速化及び大規模化が進む可能性を指摘している。
他方，AIという言葉が付いても，一般的な防御上の弱点として，未修正の脆弱性，盗まれた認証情報，フィッシング，設定不備，委託先管理の不備又はバックアップ不足を引き続き点検する必要がある。
そのため，AI専用の一つの防御装置の有無だけではなく，基本的な多層防御が継続して機能するかを確認する必要がある。
２ 「守れるか」は機密性・完全性・可用性に分ける
事件記録を守れるかを評価する場合の評価軸として，少なくとも，権限のない者に内容を知られない機密性，記録を不正に変更・削除されない完全性，必要な時に利用でき復旧できる可用性を区別する。
技術的な評価として，暗号化は機密性に有効であるが，正規アカウントが乗っ取られた場合，事件記録の誤提出があった場合又はサービスが停止した場合の問題を単独では解決しない。
また，本記事の評価軸としては，侵入を完全に防ぐことだけでなく，侵入を早期に検知し，影響範囲を限定し，記録を復元し，期限のある裁判手続を継続できるかを重視する。
第３ mintsについて公表されている対策
１ クラウド，境界防御及び侵入検知
最高裁判所事務総局「mintsセキュリティ対策の概要」は，mintsがISMAPで安全性が評価されたクラウド・コンピューティングサービスを利用していると説明する。
同資料は，ウイルス対策ソフトウェア，ファイアウォール，不正侵入検知機能及びWAF等を導入し，脆弱性を狙う攻撃等の検出と防御を行うと説明する。
ISMAPは政府情報システムのためのクラウドサービスのセキュリティ評価制度であり，登録クラウドサービスの管理策を評価する枠組みである。
もっとも，ISMAP登録又は同制度で評価されたクラウドの利用は，mintsの全構成及び運用が将来にわたり無条件に安全であることを意味しない。
２ 保存データ，通信及び認証
同資料は，クラウド上の機能により保管データを変更・削除できないようにし，不正に取得されても読み取られないよう暗号化していると説明する。
また，SSL（TLS）による通信の暗号化，パスワードの複雑さ等の要件及びSMS認証等による二要素認証を挙げている。
これらは，通信の盗聴，保管データの不正取得又はパスワードだけによるなりすましの危険を下げる対策である。
他方，フィッシングサイトへ確認コードを入力すること，共有端末又は認証用電話の管理不備，正規利用者による誤操作，ダウンロード後のファイルの漏えい等は，利用者側の対策も必要となる。
３ 公表資料が証明する範囲
この概要は，最高裁判所がmintsについて採用していると説明する対策を確認するための一次資料である。
ただし，今回確認した公表資料では，個別のファイアウォール規則，暗号鍵の管理方法，ログの保存期間，監視体制，脆弱性診断の結果，攻撃を検知した実績又は復旧試験の結果までは確認できない。
したがって，対策の名称が公表されていることと，本番環境における設定及び有効性が外部から検証できることを区別する必要がある。
第４ TreeeSについて確認できる対策
１ TreeeSは導入前のシステムである
令和８年１０月２９日現在，裁判所は，令和９年１月４日から名古屋地方裁判所，その管内の簡易裁判所，名古屋高等裁判所本庁及び最高裁判所へTreeeSを先行導入すると案内している。
したがって，今回確認した中心資料は，本番運用の実績ではなく，調達仕様書，利用規約，暫定操作マニュアル及び導入案内である。
２ 調達仕様書上の情報セキュリティ要求
令和７年７月２日付の最高裁判所の調達仕様書は，ｅ事件管理システム・ｅ提出・ｅ記録管理システムの改修等業務の受注者に対し，最高裁判所の情報セキュリティ関係通達・対策基準等を遵守し，情報セキュリティ管理体制を整備することを求めている。同仕様書は，これらの通達・対策基準等が政府機関等のサイバーセキュリティ対策のための統一基準群等に準拠するとしている。
また，情報システムの脆弱性診断，情報セキュリティ監査への対応，委託先を含むサプライチェーン上の管理，作業環境及び情報の取扱いに関する措置を要求している。
これらは，TreeeS等に関係する当該改修等業務を，単なる機能要件だけでなく，裁判所の情報システムとしての情報セキュリティ管理の対象にしていることを示す。
３ 要求仕様と実装結果を区別する
調達仕様書に脆弱性診断，監査対応又はサプライチェーン対策が書かれていることは，受注者に対する調達上の要求を確認する資料である。
しかし，当該調達上の要求が記載されていることだけでは，診断で何件の問題が見つかり，どのように是正され，AIを利用する攻撃への耐性がどの程度確認されたかは分からない。
TreeeS利用規約は，利用者によるアカウント，認証情報及び利用端末の適切な管理を求め，保守，障害その他の事情によるサービス停止等も予定している。
システム側の対策と利用者側の管理責任を分ける必要がある点は，mintsと共通する。
第５ mintsとTreeeSの共通点と違い
今回確認した資料の性質は，mintsでは稼働中のシステムについてのセキュリティ概要であるのに対し，TreeeSでは先行導入前の関連調達仕様，利用規約及び暫定資料である。
公表された主な対策は，mintsではISMAP対象クラウド，ウイルス対策，ファイアウォール，IDS，WAF，暗号化，TLS，パスワード要件及び二要素認証である。TreeeS等に関係する公開調達資料では，当該改修等業務の受注者に裁判所の情報セキュリティ関係通達・対策基準等の遵守を求め，これらが政府統一基準群等に準拠するとした上で，脆弱性診断，監査対応及びサプライチェーン管理等を要求している。
今回確認した公表資料から分からない事項は，mintsでは個別設定，診断・監査結果，検知・復旧実績及びインシデント件数等であり，TreeeSでは本番環境の実装結果，診断・監査結果，運用実績及びAI攻撃を想定した試験結果等である。
利用者側には，いずれのシステムでも，端末，アカウント及び認証情報の管理が残る。法律事務所の実務上は，これに加えて補助者その他の権限，提出，受領，ダウンロード後のファイル，期限及び事故対応を管理する必要がある。
mintsについては，実際に稼働するシステムの対策概要が公表されているため，防御の構成を一定程度具体的に確認できる。
TreeeSについては，調達段階のセキュリティ要求を詳しく確認できる一方，本番運用前であるため，実装及び運用の実績による評価には限界がある。
両者を同じ証拠水準で「安全」又は「危険」と評価しないことが重要である。
第６ 事件記録を守れるかを評価する軸
１ 予防だけでなく検知・封じ込め・復旧を見る
本記事の評価項目としては，侵入を防ぐ予防策，侵入又は異常を見つける検知策，被害範囲を限定する封じ込め，記録及びサービスを戻す復旧策を分ける。
AIによって攻撃の速度又は件数が増える場合，定期的な手作業だけでは対応が間に合わない可能性があるため，ログの監視，アラートの優先順位付け，権限の最小化及び復旧訓練の実効性が一層重要になる。
２ 事件記録固有の完全性を確認する
事件記録の完全性・説明可能性を評価する項目として，内容が漏れないことに加え，提出した書面・証拠が改ざんされていないこと，事件番号，書面種別，提出者，提出時刻及び送達・閲覧時刻を後から確認できるかを挙げることができる。
法律事務所の記録管理・BCP上の推奨としては，提出前の版，提出結果，受付番号，ダウンロードした裁判書類及び期限計算の根拠を事件フォルダへ保存し，裁判所システムだけを唯一の記録場所にしない運用が考えられる。
３ 期限を守るための可用性を確認する
事件記録が暗号化されていても，期限直前にシステム，端末，回線又は認証手段を利用できなければ，裁判実務上の重大な問題が生じ得る。
法律事務所のBCP上の推奨として，障害時の公式情報，裁判所への連絡経路，代替端末・回線，認証用電話の故障時対応及びバックアップを事前に決めるとともに，期限切迫時に利用できる提出方法を適用法令及び裁判所の公式案内に基づいて事前に確認することが考えられる。
第７ 公表資料から確認できない事項
令和８年１０月２９日現在に今回確認した公表資料からは，少なくとも次の事項を確認できない。
① mints及びTreeeSの本番環境における個別のセキュリティ設定。
② 脆弱性診断，侵入試験，監査及びレッドチーム演習の具体的な結果。
③ AIを活用する攻撃を想定した試験シナリオ，検知率又は誤検知率。
④ 侵入又は異常の検知，封じ込め及び復旧に要する時間並びに復旧目標。
⑤ バックアップの構成，分離，保持期間及び復元試験の結果。
⑥ セキュリティインシデントの件数，影響範囲及び再発防止策。
⑦ TreeeSの先行導入後の運用実績。
これらが公表されていないことから，直ちに対策が存在しないとはいえない。
反対に，非公表の対策が存在する可能性だけを根拠に，耐性が実証済みともいえない。
第８ 法律事務所側に残る対策
リスク評価としては，裁判所側に多層防御があっても，利用者の端末，認証情報，補助者権限，メール，ダウンロード後のファイル又は提出前確認に弱点があれば，事件記録の漏えい，誤提出又は期限事故が生じ得る。
法律事務所の情報セキュリティ・記録管理・BCP上の推奨としては，端末及びブラウザの更新，二要素認証，補助者アカウントの棚卸し，フィッシング対策，提出前の二重確認，事件フォルダへの保存，復元可能なバックアップ，期限管理及び事故対応を継続することが考えられる。
mintsに関する責任分界と具体的な事務所運用は，mintsのセキュリティ対策と法律事務所の責任分界を参照されたい。
TreeeSの基本機能，導入時期，アカウント及び事務所の準備は，TreeeS（ツリーズ）とは―mintsとの違い，導入時期，アカウント及び法律事務所の準備を参照されたい。
システム開発の経緯及びRoootSとの関係は，最高裁判所が開発しているmints，RoootS及びTreeeSを参照されたい。
第９ 出典・参考資料
① 最高裁判所事務総局「mintsセキュリティ対策の概要～3つのセキュリティのポイント～」（令和８年４月）。
② 最高裁判所事務総局経理局長「家事事件手続等のデジタル化に伴うｅ事件管理システム・ｅ提出・ｅ記録管理システムの改修等業務一式 公募公告及び調達仕様書」（令和７年７月２日付）。
③ 裁判所「TreeeS利用規約」。
④ 裁判所「TreeeSについて」（令和８年１０月２９日確認）。
⑤ 国土交通省「AI性能の高度化を踏まえたサイバーセキュリティ対策の強化について」（令和８年５月２８日）。
本記事は，今回確認した公表一次資料から確認できる対策，調達上の要求，利用規約上の責任及び確認できない事項を区別して整理したものであり，mints又はTreeeSの本番環境に対する侵入試験又は監査の結果ではない。