RIKENTOKYOはオフィス環境と仕組みのご提案で税理士事務所や社労士事務所では、顧問先の決算情報、給与データ、マイナンバーなど、漏れてはいけない情報を日常的に扱います。 一方で、ITは所長や詳しい職員が片手間で見ている事務所が多いのではないでしょうか。 結論からお伝えすると、士業事務所のIT環境とセキュリティは「守るべき情報の棚卸し」から始め、入口・端末・ID・バックアップの順に固めるのが現実的です。 この記事では、士業事務所ならではのリスク、よくある失敗、7つの基本対策、繁忙期を避けた進め方を解説します。
士業事務所のセキュリティ対策とは、顧問先から預かった情報を「漏らさない・壊さない・止めない」ための仕組みづくりです。 ウイルス対策ソフトを入れるだけではなく、ネットワーク、端末、アカウント、データ保管、職員のルールまでを含みます。
士業事務所は、自社の情報よりも「顧問先の情報」を多く預かっている点が一般企業と大きく異なります。 そのため、事故が起きたときの影響が事務所の外にまで広がります。
| 項目 | 一般的な中小企業 | 士業事務所（税理士・社労士など） |
|---|---|---|
| 主に守る情報 | 自社の顧客情報・営業情報 | 顧問先の決算・給与・家族構成・マイナンバー |
| 法的な義務 | 個人情報保護法 | 個人情報保護法に加え、士業法の守秘義務、マイナンバーの安全管理措置 |
| 事故時の影響 | 自社の信用低下 | 多数の顧問先へ連鎖的に影響、顧問契約の解約リスク |
| よく使うシステム | 業種ごとの業務システム | 会計・税務・給与ソフト、電子申告・電子申請 |
| IT担当者 | 総務や情シス兼任 | 所長や職員が兼任、または外部業者任せ |
税理士には税理士法第38条、社会保険労務士には社会保険労務士法第21条で、業務上知り得た秘密を守る義務が定められています。 情報漏えいは、そのまま専門家としての信頼に直結すると考えておく必要があります。
背景には、サイバー攻撃が中小規模の組織を狙うようになったことと、士業の業務そのものがデジタル化したことがあります。 「小さな事務所は狙われない」という前提は、もう成り立ちません。
警察庁の令和7年におけるサイバー空間をめぐる脅威の情勢等についてによると、2025年のランサムウェア被害報告は226件でした。 そのうち約6割が中小企業の被害です。
また、令和7年上半期の同資料では、感染経路の回答のうち6割以上がVPN機器でした。 テレワーク用に設置したVPN機器を更新せずに使い続けている事務所は、特に注意が必要です。
2024年には、都内の大手税理士法人グループがランサムウェア被害を受けました。 公表された調査結果では、ネットワーク機器の更新作業で設定が誤っていたことが侵入の原因とされています。
この事案では、業務を委託していた保険会社などの顧問先も、個人情報漏えいの可能性を相次いで公表しました。 士業事務所の事故は、顧問先の事故になるということを示した事例です。
税理士の電子申告、社労士の電子申請、顧問先とのクラウド会計共有など、士業の業務はオンラインが前提になりました。 便利になった分、パソコン、クラウド、メール、スマートフォンのすべてが守る対象になっています。
よくある失敗は、機器やソフトを個別に入れてきた結果、全体として誰も管理していない状態になっていることです。 特に次の5つは、RIKEN TOKYOへの相談でもよく見られるパターンです。
テレワークのために導入したVPN機器が、ファームウェア更新もされずに動き続けているケースです。 保守契約が切れていて、誰も管理画面に入れないこともあります。
ZIPファイルとパスワードを同じメール経路で送る方法は、盗み見に弱く、マルウェアの検査もすり抜けます。 誤送信したときに取り消せない点も問題です。
会計ソフトのデータを事務所内のサーバーやNASに置き、バックアップも同じネットワーク上の外付けHDDに取っているケースです。 ランサムウェアはネットワークにつながったバックアップごと暗号化するため、復旧できなくなります。
職員の入れ替わりがあっても、メールやクラウド会計のアカウントを止めていないケースです。 共有パスワードを使い回していると、誰がいつアクセスしたかも追えません。
士業事務所では、今でもFAXで書類をやり取りする顧問先があります。 宛先の登録ミスや、スキャンデータを共有フォルダに置きっぱなしにすることが、情報漏えいの原因になります。
士業事務所の対策は、次の7項目を上から順に進めると効率的です。 すべてを一度に行う必要はなく、影響の大きいところから固めていきます。
| 順番 | 対策 | 主な手段 | 優先度 |
|---|---|---|---|
| 1 | 守るべき情報の棚卸し | 情報資産台帳、保管場所の整理 | 最優先 |
| 2 | ネットワークの入口対策 | UTM、VPN機器の更新・設定見直し | 最優先 |
| 3 | パソコン・端末の対策 | EDR/EPP、OS更新、端末管理 | 高 |
| 4 | アカウントとID管理 | 多要素認証、アカウント棚卸し | 高 |
| 5 | 安全なファイル共有 | SharePoint、OneDrive、Teams | 中 |
| 6 | バックアップと復旧 | 事務所外・クラウドへの分離保管 | 高 |
| 7 | ルール・教育・事故対応 | 規程整備、研修、連絡体制 | 中 |
最初に、どの情報がどこにあるかを一覧にします。 会計データ、給与データ、マイナンバー、申告書控え、紙の原本などを洗い出し、保管場所と閲覧できる人を整理します。
情報資産台帳のひな形は、IPAの中小企業の情報セキュリティ対策ガイドラインの付録が参考になります。
UTM（統合脅威管理）とは、ファイアウォールやウイルス検知などを1台にまとめたネットワーク機器です。 インターネットとの出入口に設置し、不正な通信を遮断します。
あわせて、VPN機器のファームウェアが最新か、使っていない設定が残っていないかを確認します。 機器を更新したときは、設定内容を第三者がチェックする手順を入れると、設定ミスによる事故を防げます。
EPPはウイルスの侵入を防ぐ製品、EDRは侵入後の不審な動きを検知して対処する製品です。 攻撃者はウイルス対策ソフトを停止させてから攻撃することがあるため、EDRで異常を見つける仕組みが有効です。
また、WindowsやOfficeの更新が職員任せになっていないかも確認します。 Microsoft Intuneを使えば、更新状況や暗号化の設定を事務所全体でまとめて管理できます。
多要素認証（MFA）とは、パスワードに加えてスマートフォンの承認などを求める仕組みです。 パスワードが漏れても、それだけではログインできなくなります。
Microsoft 365をお使いなら、Microsoft Entra IDで多要素認証やアクセス条件を一元管理できます。 入退職時のアカウント発行・停止の手順も、この機会に決めておきましょう。
パスワード付きZIPの代わりに、SharePointやOneDriveの共有リンク、Teamsのゲストアクセスを使います。 共有相手と有効期限を設定でき、誤って送った場合もリンクを止められます。
顧問先ごとにフォルダを分け、担当者だけがアクセスできるよう権限を設計することがポイントです。
バックアップは、事務所内のネットワークから切り離した場所にも保管します。 クラウドバックアップを使えば、ランサムウェアで事務所内のデータが暗号化されても復旧できます。
あわせて、実際に復元できるかを年に1回以上テストしておくと安心です。
ツールを入れても、職員が不審なメールを開けば被害は起きます。 メールの添付ファイル、私物スマートフォンの扱い、持ち出しのルールを決め、定期的に共有します。
事故が起きたときに誰に連絡し、何を止めるかも決めておきます。 個人情報の漏えい時は、条件によって個人情報保護委員会への報告と本人への通知が必要です。
何から手を付けるべきか迷っている方へ
VPN機器の状態やバックアップの保管先は、事務所の中だけでは判断しにくい部分です。
RIKEN TOKYOでは、現在のネットワーク構成や機器の状態を伺い、優先順位の高い対策から整理してご提案します。
セキュリティ対策について無料相談をする
マイナンバーを扱う士業事務所は、組織的・人的・物理的・技術的の4つの安全管理措置を講じる必要があります。 IT対策だけに偏らず、4つの視点で点検すると抜け漏れを防げます。
| 区分 | 内容 | 士業事務所での具体例 |
|---|---|---|
| 組織的 | 責任者・ルール・記録 | 事務取扱担当者の指定、取扱規程、事故時の連絡体制 |
| 人的 | 職員への教育・誓約 | 入所時の誓約書、年1回のセキュリティ研修 |
| 物理的 | 場所・機器・書類の管理 | 書類の施錠保管、来客動線と執務エリアの区分、パソコンの盗難防止 |
| 技術的 | システムによる保護 | UTM、EDR、多要素認証、アクセス権限、ログ管理 |
社労士事務所の場合は、全国社会保険労務士会連合会の個人情報保護事務所認証（SRPⅡ認証）も、体制づくりの目安になります。 認証の詳細は全国社会保険労務士会連合会でご確認ください。
士業事務所のIT環境整備は、繁忙期を避けて段階的に進めるのが鉄則です。 ネットワーク機器の入れ替えやデータ移行は、業務が止まるリスクがあるためです。
| 士業 | 主な繁忙期 | IT整備に向く時期の目安 |
|---|---|---|
| 税理士 | 1〜3月の確定申告、5月の3月決算法人、11〜1月の年末調整 | 6〜10月 |
| 社労士 | 4月の入社手続き、6〜7月の年度更新・算定基礎届、11〜1月の年末調整 | 8〜10月、2〜3月 |
※ 顧問先の決算月構成によって繁忙期は異なります。
進め方は、次の5ステップが基本です。
RIKEN TOKYOの視点
RIKEN TOKYOは、東京支店自身がWeWork丸の内へ移転し、ペーパーレスとクラウド中心の働き方へ切り替えました。
紙の原本やFAXが残る業務をどう移行するか、職員にどう定着させるかは、私たち自身が経験してきた課題です。
RIKEN TOKYOでは、士業事務所のセキュリティ対策を、ネットワーク、端末、クラウド、複合機、事務所環境までまとめて支援しています。 機器ごとに業者が分かれていると起きやすい「設定の抜け」や「責任の押し付け合い」を防げる点が特長です。
| 支援内容 | 具体例 |
|---|---|
| 現状整理 | ネットワーク構成・機器・保守契約・アカウントの棚卸し |
| 入口対策 | FortiGate、SAXA SSシリーズ、SonicWALLなどのUTM導入・更新 |
| 端末対策 | ESET、WithSecureによるEDR/EPP、Microsoft Intuneによる端末管理 |
| ID・クラウド | Microsoft 365、Microsoft Entra IDによる多要素認証、SharePoint・Teamsでのファイル共有設計 |
| バックアップ | RIKEN Cyber Protection BACKUPによるデータ保護 |
| 複合機・電話 | RICOH IMシリーズの導入、ビジネスフォン・クラウドPBXの見直し |
| 事務所環境 | ネットワーク・電源工事、レイアウト、移転・リニューアル |
Microsoft 365をすでに導入している事務所では、メールとTeams以外の機能が使われていないことがよくあります。 多要素認証や端末管理など、ライセンスに含まれている機能を活用できているかは、Microsoft 365 活用度チェックで確認できます。
Microsoft 365やクラウド活用の詳細は、Microsoft & DXの支援内容をご覧ください。 事務所の移転やレイアウト変更にあわせてIT環境を見直す場合は、Work Designの支援内容もあわせてご確認ください。
士業事務所のIT環境とセキュリティで押さえるべきポイントを整理します。
自事務所の対策がどこまでできているか不安な方は、RIKEN TOKYOにご相談ください。 現在の機器や運用を伺ったうえで、事務所の規模と予算に合った優先順位をご提案します。 導入したい機器やライセンスが決まっている場合は、概算見積もご依頼いただけます。
セキュリティ対策について無料相談をする
UTM・バックアップなどのスピードお見積りを依頼する
規模にかかわらず、インターネットの入口を守る対策は必要です。 ランサムウェア被害の多くは中小規模の組織で起きており、侵入口の多くはVPN機器などのネットワーク機器です。 事務所の規模に合ったUTMを選べば、機器の管理負担も抑えられます。
組織的・人的・物理的・技術的の4つの安全管理措置を講じる必要があります。 具体的には、取扱担当者と規程の整備、職員の誓約と教育、書類と機器の施錠管理、アクセス制限やウイルス対策などです。 体制づくりの目安として、SRPⅡ認証の基準を参考にする方法もあります。
Microsoft 365を使っている場合は、SharePointやOneDriveの共有リンク、Teamsのゲストアクセスが現実的です。 共有相手や有効期限を設定でき、誤送信時にもリンクを止められます。 顧問先ごとにフォルダと権限を分けて運用することが大切です。
進められます。 まずは機器、アカウント、データの保管場所を一覧にし、影響の大きい入口対策とバックアップから始めるのがおすすめです。 RIKEN TOKYOでは、現状整理から導入、運用の見直しまで段階的に支援しています。
繁忙期を避けた閑散期に、機器更新やデータ移行を計画するのがおすすめです。 税理士事務所は6〜10月、社労士事務所は8〜10月や2〜3月が目安です。 ただし、VPN機器の脆弱性対応など緊急性の高いものは、時期を待たずに対応しましょう。
