士業事務所の情報セキュリティ：クラウド利用で顧客データを守る基本
クラウド会計、給与計算、勤怠管理、電子契約、オンラインストレージなどの利用が広がり、士業事務所の顧客データは複数のサービスに分散しやすくなっています。
税理士、社会保険労務士、行政書士には、それぞれ法令上の守秘義務があります。情報セキュリティは、単なるIT設定ではなく、守秘義務を支える日常業務の管理課題です。
この記事では、個人情報保護委員会やIPAなど公的機関の資料をもとに、士業事務所がクラウド利用時に確認したい基本項目を整理します。
なお、個別クラウドサービスの適法性・安全性や、個人情報保護法上の委託・第三者提供の該当性は、契約内容や利用形態に左右されるため、本記事では一般論として断定しません。
士業事務所の情報セキュリティは、守秘義務を支える実務課題
税理士・社労士・行政書士に共通する守秘義務
税理士法第38条は、税理士が正当な理由なく、税理士業務に関して知り得た秘密を他に漏らし、または窃用してはならないと定めています。税理士でなくなった後も同様です。
社会保険労務士法第21条も、開業社会保険労務士や社会保険労務士法人の社員について、正当な理由なく業務に関して知り得た秘密を他に漏らし、または盗用してはならないと定めています。
行政書士法第12条では、行政書士が正当な理由なく、業務上取り扱った事項について知り得た秘密を漏らしてはならないとされています。行政書士でなくなった後も同様です。
これらの規定を踏まえると、士業事務所の情報セキュリティは「ITに詳しい人が担当する技術問題」だけではありません。編集部では、顧客の税務、労務、許認可、財務、従業員情報などを扱う以上、顧客情報の管理は職業上の信頼を支える実務管理そのものだと考えています。
顧客データは複数のクラウドに分散しやすい
現在の士業業務では、顧客データが一つの場所だけに保存されるとは限りません。税理士事務所ではクラウド会計、オンラインストレージ、電子契約、顧客管理ツールを利用する場面があります。社会保険労務士事務所では、給与計算、勤怠管理、助成金申請、労務相談対応などで、従業員情報や給与情報を扱うことがあります。行政書士事務所では、許認可申請、補助金、在留資格関連業務など、取扱分野によって保存する情報が変わります。
便利なクラウドサービスが増えるほど、資料の保存先、共有先、アクセス権限は見えにくくなりがちです。たとえば、同じ顧客の資料が、メール添付、チャット、共有フォルダ、クラウド会計、電子契約サービスに分かれている場合があります。
この状態で確認したいのは、「どの情報が、どのサービスに、誰の権限で保存されているか」です。ここが曖昧なままでは、退職者・退所者のアカウント停止、共有リンクの削除、案件終了後のデータ整理、顧客からの問い合わせ対応が後手に回る可能性があります。
個人情報保護委員会のガイドラインで見る安全管理措置
組織的・人的・物理的・技術的な安全管理措置
個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」は、個人情報取扱事業者が講ずべき安全管理措置として、基本方針の策定、個人データの取扱いに係る規律の整備、組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置、外的環境の把握を挙げています。
組織的安全管理措置では、組織体制の整備、規律に従った運用、取扱状況を確認する手段、漏えい等事案に対応する体制、見直し・改善などが求められています。
小規模事務所では、最初から詳細な規程集を作ることが難しい場合もあります。その場合でも、編集部では、次のような小さな管理から始めることが現実的だと考えています。
- 顧客データを扱うサービスを一覧化する
- 誰が管理責任者かを決める
- アカウント追加・削除の手順を決める
- 共有リンクや外部共有の確認日を記録する
- 漏えい等が疑われる場合の連絡先を決める
- 定期的に見直す日を決める
安全管理措置は、一度決めて終わりではありません。クラウドサービスの追加、職員の入退所、顧客との共有方法の変更に合わせて見直す運用が必要です。
技術的安全管理措置は「設定」と「運用」の両方で考える
同ガイドラインでは、技術的安全管理措置として、アクセス制御、アクセス者の識別と認証、外部からの不正アクセス等の防止、情報システム使用に伴う漏えい等の防止が挙げられています。
実務に落とし込むと、次のような項目です。
- ユーザーIDごとに権限を分ける
- 管理者権限を必要最小限にする
- 二要素認証を利用できるサービスでは設定を確認する
- OSやセキュリティ対策ソフトを最新の状態に保つ
- 重要な操作ログやアクセスログを確認できるようにする
- 通信経路や保存データの保護方法を確認する
- 個人データを移送する場合の保護方法を決める
ここで重要なのは、設定しただけで終わらせないことです。二要素認証を導入しても、新しく追加したアカウントで未設定のままになっていれば、運用上の穴になります。アクセス権限を分けても、退職者アカウントが残っていれば、管理としては不十分になり得ます。
編集部では、技術的安全管理措置は「どの機能を使うか」だけでなく、「誰が、いつ、どのように確認するか」まで含めて考える必要があると整理しています。
クラウド利用で事業者任せにできない確認項目
クラウドサービスの責任分担を理解する
IPAの「中小企業のためのクラウドサービス安全利用の手引き」は、クラウドサービスのセキュリティについて、サービス提供事業者と利用者がそれぞれの役割・責任を分担して対策を実施することで維持・向上すると説明しています。
つまり、クラウドサービスを使うこと自体が問題なのではありません。一方で、「大手サービスだからすべて任せてよい」「有名サービスだから事務所側では何もしなくてよい」と単純化することもできません。
クラウド事業者が基盤の保護、サービス提供、障害対応などを担う一方で、利用者側には、アカウント管理、権限設定、認証設定、バックアップ確認、利用終了時のデータ確保、契約条件の確認などの役割があります。
士業事務所に当てはめると、守るべき情報の種類や業務上の責任は事務所ごとに異なります。顧問先の財務情報、給与情報、従業員情報、本人確認資料などを扱う場合、利用者側の管理が重要になると考えられます。
導入前に確認したい項目
クラウドサービスを導入する前には、少なくとも次の項目を確認しておくと、後から管理に迷いにくくなります。
- 何の業務に使うサービスか
- どのような情報を保存・処理するか
- 扱う情報の重要度はどの程度か
- 事業者の信頼性をどの資料で確認するか
- SLAなどのサービス品質保証を確認したか
- 管理担当者を誰にするか
- 利用者範囲をどこまでにするか
- 二要素認証などの認証機能を設定できるか
- アクセス権限を細かく分けられるか
- バックアップやデータ出力が可能か
- 利用終了時にデータを取得・削除できるか
- 契約条件や適用法令を確認したか
- データ保存先の地理的所在地を確認したか
これらは、サービス導入時だけでなく、契約更新時や機能追加時にも見直したい項目です。特に、無料プランから有料プランへ移行する場合、外部協力者を招待する場合、顧客と共有する範囲を広げる場合は、管理ルールも合わせて確認する必要があります。
小規模事務所で始めやすい顧客データ管理チェック
クラウド利用台帳を作る
編集部では、最初の一歩として「クラウド利用台帳」を作ることを推奨します。難しい形式である必要はありません。表計算ソフトやドキュメントで、現在使っているクラウドサービスを一覧化するだけでも、管理の出発点になります。
台帳には、次の項目を入れると実務で使いやすくなります。
- サービス名
- 利用業務
- 保存・処理している情報の種類
- 管理担当者
- 利用者範囲
- 外部共有の有無
- 二要素認証の設定状況
- バックアップの有無
- 利用終了時のデータ取得・削除方法
- 契約条件の確認状況
- データ保存先の確認状況
- 最終確認日
ポイントは、完璧な規程を最初から作ろうとしないことです。まずは、事務所内で使っているサービスを可視化します。そのうえで、重要な顧客データを扱うサービスから優先的に確認します。
アカウントと権限を定期的に棚卸しする
クラウド利用で見落としやすいのが、退職者・退所者アカウントや外部協力者の権限です。事務所を離れた人のアカウントが残っている、案件終了後も共有リンクが有効なままになっている、管理者権限を持つ人が増えすぎている、といった状態は、顧客データ管理上のリスクになり得ます。
月1回または四半期に1回程度、次の項目を確認するとよいでしょう。
- 退職者・退所者のアカウントが残っていないか
- 外部協力者のアクセス権限が過剰になっていないか
- 案件終了後の共有リンクが有効なままになっていないか
- 管理者権限を持つユーザーが必要最小限か
- 二要素認証が有効化されているか
- 長期間使っていないアカウントがないか
- 顧客ごとの共有フォルダに不要な資料が残っていないか
小規模事務所では、担当者が兼務で管理していることも多いと考えられます。その場合は、確認日をカレンダーに入れ、台帳にチェック欄を作るだけでも継続しやすくなります。
顧客データの共有ルールを決める
顧客から受け取る資料の経路が分散すると、どこに何があるかを探す作業が増えます。誤送信や共有漏れ、削除漏れも起きやすくなります。
編集部では、顧客データの共有ルールを簡単に決めておくことが、情報管理と業務効率の両方に役立つと考えています。
たとえば、次のようなルールです。
- 顧客資料の受け取り経路を原則として限定する
- メール添付を使う場合の保護方法を決める
- 共有フォルダの命名規則を決める
- 顧客ごと、案件ごとの保存場所を統一する
- 案件終了後の共有リンク停止日を決める
- 例外対応がある場合は記録する
- 顧客へ案内する提出方法を文書化する
ルールを作る目的は、職員を縛ることではありません。誰が対応しても同じ方法で確認できる状態を作り、属人的な判断を減らすことです。
委託先・認証制度・ISMAPを見るときの注意点
委託先監督は選定・契約・取扱状況の把握で考える
個人情報保護委員会の通則ガイドラインは、個人データの取扱いを委託する場合、委託先で安全管理措置が適切に講じられるよう、委託先に対して必要かつ適切な監督をしなければならないとしています。具体的には、適切な委託先の選定、委託契約の締結、委託先における個人データ取扱状況の把握が挙げられています。
クラウドサービスを個人データの保存・処理に使う場合、そのサービスの契約形態や機能によって、委託先の監督や第三者提供などの整理が必要になる可能性があります。ただし、これは契約内容、利用形態、データ処理の実態に左右されるため、一般記事で一律に断定することは適切ではありません。
士業事務所の実務では、まず次のような確認から始めるとよいでしょう。
- 契約書や利用規約で個人データの取扱いを確認する
- サービス提供事業者のセキュリティ情報を確認する
- データ保存先や再委託の説明があるか確認する
- 利用終了時のデータ取得・削除方法を確認する
- 顧客データを保存する前提で使ってよいサービスか検討する
- 判断が難しい場合は、専門家や公的機関の案内を確認する
ISMAP等は選定時の参考情報として扱う
ISMAPポータルは、ISMAPを「政府情報システムのためのセキュリティ評価制度」と説明しています。IPAのクラウドサービス安全利用の手引きでも、クラウドサービス選択時に参考となる制度等として、ISMAP、ISMSクラウドセキュリティ認証、クラウド情報セキュリティ監査制度、ASP・SaaS情報開示認定制度などが挙げられています。
これらの制度や認証は、クラウドサービスを比較検討する際の参考情報になり得ます。一方で、ISMAP登録や認証取得があるからといって、民間の士業事務所における個別の安全性・適法性がそのまま保証されるとは限りません。
編集部では、認証制度は「確認材料の一つ」として扱うのが適切だと考えています。最終的には、事務所が扱う情報、顧客との契約、利用する機能、アクセス権限、バックアップ、データ削除方法などを合わせて確認する必要があります。
漏えい等に備えて、初動手順を1枚にまとめる
報告・本人通知が必要になる場合がある
個人情報保護委員会は、個人データの漏えい等が発生し、個人の権利利益を害するおそれがある場合、委員会への報告および本人への通知が必要になると案内しています。
報告が必要な場合として、要配慮個人情報が含まれる事態、財産的被害が生じるおそれがある事態、不正の目的による漏えい等、1,000人を超える漏えい等が挙げられています。
また、個人情報保護委員会の「漏えい等の対応とお役立ち資料」では、速報は発覚日から概ね3〜5日以内、確報は発覚日から30日以内、不正目的のおそれがある場合は60日以内と案内されています。
士業事務所では、顧客の財務情報、給与情報、従業員情報、本人確認資料、マイナンバー関連情報、病歴や障害等に関わる可能性のある情報を扱うことがあります。個別事案ごとの報告要否や本人通知の要否は慎重な判断が必要ですが、発生後に一から調べる運用では初動が遅れるおそれがあります。
発生後に迷わないための確認項目
漏えい等に備えるには、初動手順を1枚にまとめておくことが有効だと考えられます。内容は複雑である必要はありません。最初に誰へ連絡し、何を確認し、どの資料を見るかを整理します。
手順書には、次の項目を入れると実務で使いやすくなります。
- 発覚時に最初に連絡する責任者
- 影響を受ける可能性のある情報の確認方法
- 関係するクラウドサービスのログ確認方法
- 共有リンクやアカウントの停止手順
- 外部専門家、顧問先、本人への連絡判断の流れ
- 個人情報保護委員会への報告要否を確認する担当者
- 速報・確報の期限を確認する欄
- 対応経緯を記録する欄
特に小規模事務所では、所長や特定の職員に判断が集中しやすいと考えられます。事前に手順を決めておくことで、発覚直後の混乱を減らし、確認漏れを防ぎやすくなります。
ただし、漏えい等への対応は個別事情に左右されます。記事で示した項目は一般的な整理であり、具体的な報告要否、本人通知の要否、顧客対応の内容については、必要に応じて公的機関の案内や専門家の確認を受けることが望まれます。
まとめ：まずクラウド利用の現状を一覧化する
士業事務所の情報セキュリティは、守秘義務を支える実務上の管理課題です。税理士、社会保険労務士、行政書士は、業務上知り得た秘密を守る義務を負っており、顧客データをどのように保存し、誰がアクセスできるかを把握することが重要です。
クラウド利用では、サービス提供事業者の対策だけでなく、利用者側のアカウント管理、権限管理、認証設定、バックアップ、契約条件、データ保存先、利用終了時のデータ取得・削除方法も確認する必要があります。認証制度やISMAP等は参考情報になりますが、それだけで個別の安全性・適法性が保証されるわけではありません。
小規模事務所では、最初から大きな規程を作るよりも、クラウド利用台帳、アカウント・権限の棚卸し、導入前チェックリスト、インシデント初動手順から始めるのが現実的です。
まずは、事務所で使っているクラウドサービスを一覧化し、「何の情報が、どこに、誰の権限で保存されているか」を確認することから始めてください。そこが見えるだけでも、顧客データ管理の改善点は具体化しやすくなります。
出典一覧
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（2026-07-29）
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」（確認日：2026-07-29）
- 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」（確認日：2026-07-29）
- IPA「中小企業の情報セキュリティ対策ガイドライン」（確認日：2026-07-29）
- IPA「中小企業のためのクラウドサービス安全利用の手引き」（2026-03-27）
- ISMAPポータル「このサイトについて」（確認日：2026-07-29）
- e-Gov法令検索「税理士法」（確認日：2026-07-29）
- e-Gov法令検索「社会保険労務士法」（確認日：2026-07-29）
- e-Gov法令検索「行政書士法」（確認日：2026-07-29）
この記事はAIが生成し、編集長のチェックを受けて公開しています。
