Claude Securityとは、Anthropicが提供するコードの脆弱性スキャンサービスのことです。

Anthropicは2026年8月21日、最上位モデルのClaude Mythos 5をClaude Security経由でEnterprise顧客に開放したと公式ブログで発表しました（Bringing the cybersecurity capabilities of Claude Mythos 5 to more defenders）。この記事では、自前のクライアントポータルや業務システムを持つ士業事務所が、この機能を情報漏えいリスクの検知にどう位置づけるべきかを5つの論点で整理します。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で確認しています。

Claude Securityの機能拡張を取り巻く2026年9月の状況

士業事務所の中には、顧問先向けのクライアントポータルや、案件管理システムを自前で構築・カスタマイズしているところが増えています。こうした自前システムは、汎用SaaSと違って脆弱性診断を外部委託していないケースが多く、情報漏えいリスクが見過ごされやすい領域です。Anthropicの発表によれば、Claude Mythos 5はコードベースを分析し、CWE（Common Weakness Enumeration）のカテゴリ・信頼度・重大度のレーティングを付与したうえで脆弱性を検出し、修正パッチの提案まで行います（Bringing the cybersecurity capabilities of Claude Mythos 5 to more defenders）。この機能はclaude.ai/securityの管理コンソールからEnterprise顧客の管理者が有効化する形で提供され、追加料金は発生せず、通常のトークン利用分として課金される方式です（同発表資料）。あわせてAnthropicは、オープンソースの脆弱性対応を支援するDefender Advantage Fund（0xDAF）として3,500万ドル分のClaudeクレジットを提供すると公表しています（同発表資料）。士業事務所が直接この基金の対象になることは想定しにくいものの、事務所が利用している業務システムの多くがオープンソースのライブラリを基盤にしていることを踏まえると、間接的にセキュリティ水準の底上げにつながる動きだと位置づけられます。

これまでフロンティアモデルによる脆弱性スキャンは、大企業のセキュリティチームが専用契約で利用する形が中心でした。今回の開放によって、専任のセキュリティ担当者を置いていない中小規模の事務所でも、Enterprise契約の範囲内で同等のスキャン機能に触れられるようになった点が、この発表の実務的な意味です。

事務所システムの脆弱性スキャンをどう位置づけるか

Claude Securityのような脆弱性スキャン機能を導入するかどうかを判断する際は、次の手順で自前システムの棚卸しから始めるのが現実的です。

1. 事務所が保有する自前システム（クライアントポータル、案件管理ツール、顧問先向けフォーム等）を一覧化する
2. それぞれのシステムが外部の脆弱性診断サービスを受けているかどうかを確認する
3. 診断を受けていないシステムのうち、顧問先の個人情報・機密情報を扱うものを優先度の高い対象として選定する
4. 優先度の高いシステムから順に、Claude Securityのようなスキャン機能を使って脆弱性の有無を確認する
5. 検出された脆弱性・提案パッチは、システムを実際に運用する担当者（事務所内のIT担当者や外部委託先のエンジニア）が内容を精査したうえで適用する

Anthropicの発表では、Mythos 5が提案するパッチは人間によるレビューと承認を経て初めて適用される設計になっている点が明記されており、スキャン結果を自動適用する運用は想定されていません（Bringing the cybersecurity capabilities of Claude Mythos 5 to more defenders）。

5人規模（出典: 本記事編集部による仮定の試算例、実数値ではありません）の司法書士事務所を例にすると、相続登記の受任状況を管理する自前の案件管理システムを1つ、顧問先向けの問い合わせフォームを1つ運用しているようなケースでは、まず案件管理システムのように顧問先の氏名・住所・不動産情報を保持するシステムから優先してスキャン対象にする、という判断が現実的な出発点になります。問い合わせフォームのように入力される情報が限定的なシステムは、優先度を一段階下げて後続の対応に回す判断もあり得ます。事務所として導入する場合も、パッチ適用の最終判断は有資格者またはシステム運用の責任者が行う工程を手順に組み込んでおくことが前提になります。

ChatGPT・Claude・Geminiで使えるプロンプト例を示します。

以下は事務所が運用するクライアントポータル（架空のシステム）の設定ファイルの抜粋です。個人情報や
認証情報が平文で保存されていないか、アクセス制御の設定に不備がないかを確認し、懸念点を箇条書きで
指摘してください。最終的な修正は行わず、確認候補の提示に留めてください。

事務所内の情報システムについて、脆弱性スキャンを外部委託していないシステムの一覧（架空のリスト）を
渡します。それぞれについて、扱っている情報の機密度（高・中・低）を推定し、優先的にスキャンすべき
順に並べ替えてください。

顧問先情報を扱うシステムのスキャンで決めておく守秘義務の論点

顧問先の情報を扱うシステムを外部のAIサービスでスキャンする場合、システムのコード自体に顧問先の個人情報や機密情報が直接含まれていないかを事前に確認しておく必要があります。弁護士は弁護士法第23条、税理士は税理士法第38条、公認会計士は公認会計士法第27条、司法書士は司法書士法第24条で、業務上知り得た秘密を漏らしてはならない旨が定められています（e-Gov法令検索 弁護士法第23条、e-Gov法令検索 税理士法第38条、e-Gov法令検索 公認会計士法第27条、e-Gov法令検索 司法書士法第24条）。

コードのスキャン自体は、通常は設定ファイルやプログラムの構造を対象にするものであり、顧問先の個人データそのものを入力するわけではありません。ただし、テスト用のサンプルデータとして実在する顧問先情報を流用していたり、ログファイルに実データが残っていたりするケースでは、スキャン対象に機密情報が紛れ込む可能性があります。事務所規程に落とし込む際は、スキャン対象から本番データ・実在の顧問先名を事前に除外する運用ルールを明文化しておく運用例が考えられます。これらは規範として断定するものではなく、各事務所の実情に応じて調整する前提のものです。

顧問先への説明では、①自前システムの脆弱性スキャンにどのようなツールを使っているか、②スキャン対象に顧問先の実データが含まれないよう対策しているか、の2点を、システム改修の際に説明できる状態にしておくと、情報管理体制の説明責任を果たしやすくなります。

社会保険労務士・行政書士のように、顧問先の従業員情報や許認可申請情報を自前システムで管理している事務所についても考え方は同様です。社会保険労務士は社会保険労務士法第21条、行政書士は行政書士法第12条で、それぞれ業務上知り得た秘密の保持義務が定められており（e-Gov法令検索 社会保険労務士法第21条、e-Gov法令検索 行政書士法第12条）、自前システムのスキャン対象からテストデータ・実データの混入を排除する運用は、職種にかかわらず共通の論点になります。

情報漏えい検知でよくある失敗例と回避策

一つ目の失敗例は、脆弱性スキャンを一度実施しただけで満足し、その後のシステム改修で新たに追加されたコードがスキャン対象から漏れてしまうケースです。回避策は、システム改修のたびにスキャンを実施するタイミングを運用ルールに組み込むことです。

二つ目の失敗例は、スキャンで検出された脆弱性の一覧だけを見て、重大度の低いものまで一律に緊急対応してしまい、本当に優先すべき脆弱性への対応が遅れるケースです。回避策は、CWEカテゴリと重大度レーティングを踏まえて対応の優先順位を事務所内で明文化しておくことです。

三つ目の失敗例は、提案されたパッチをレビューなしにそのまま適用し、意図しない不具合を本番システムに持ち込んでしまうケースです。回避策は、パッチ適用前にテスト環境で動作確認する工程を運用フローに組み込むことです。

四つ目の失敗例は、スキャンで脆弱性が「ゼロ」と表示されたことをもって、システム全体が安全だと判断してしまうケースです。スキャンはコードベースを対象にした検出であり、運用担当者の設定ミスや、外部委託先が管理するインフラ側の設定不備までは検出範囲に含まれない場合があります。回避策は、スキャン結果はシステムの一側面の確認であると位置づけ、運用体制全体の点検と組み合わせることです。

導入にかかる費用と体制

Claude Securityによるスキャンは、Anthropicの発表によれば追加料金なく通常のトークン利用分として課金される方式です（Bringing the cybersecurity capabilities of Claude Mythos 5 to more defenders）。初期構築としては、対象システムの棚卸しと優先順位づけに、システムの数が少ない事務所であれば数日程度を見込んでおくと現実的です。運用の主担当は、事務所内のIT担当者か、システムを実際に構築した外部委託先のエンジニアが持ち、四半期に一度程度、新規に追加されたコードも含めてスキャンを実施する棚卸しの機会を設けると、対応漏れを防ぎやすくなります。

外部委託でシステムを構築している事務所の場合は、委託先の契約内容にセキュリティ対応の範囲がどこまで含まれているかを確認し、Claude Securityのようなツールによるスキャンを事務所側で追加するのか、委託先の対応に任せるのかを事前に取り決めておくと、責任の所在があいまいにならずに済みます。

費用面では、スキャン自体に追加料金が発生しない設計であるため、事務所側の主な負担は初期の棚卸し作業と、検出結果を精査する担当者の稼働時間になります。既存のEnterprise契約の範囲内で使える機能であることを踏まえると、専任のセキュリティ担当者を新たに採用するよりも、まず既存の担当者・委託先で試験導入し、対応工数を見ながら体制を調整していく進め方が現実的です。

今後の展望と考察

AIベンダー各社が自社の最上位モデルをセキュリティ用途に開放する動きは、Claude Mythos 5に限らず今後も広がると見込まれます。士業事務所にとっての論点は、こうした機能をいつ・どのシステムから導入するかという優先順位づけであり、すべてのシステムを一斉にスキャン対象にする必要はありません。まずは顧問先の機密情報を扱う自前システムから着手し、外部委託しているSaaS製品については提供元のセキュリティ対応状況を確認するという役割分担が、今後の実務対応として論点になります。

また、今回の開放はEnterprise契約者向けの機能であり、個人向けプランや小規模チーム向けプランでは同等の機能が使えない可能性がある点は確認しておきたいポイントです。事務所の契約プランがEnterprise相当かどうかを確認し、該当しない場合は外部の脆弱性診断サービスとの併用や、契約プランの見直しを検討することになります。プランごとの提供範囲は変更される可能性があるため、導入を検討する際はAnthropicの最新の公式情報を都度確認することが実務的な対応になります。

よくある質問

事務所に自前システムが無い場合もこの機能は関係がありますか

自前でコードを保有していない事務所の場合、Claude Securityのスキャン対象そのものが存在しないため、直接的な関係は薄くなります。ただし、利用しているSaaS製品の提供元がどのようなセキュリティ対応をしているかを確認する視点は、自前システムの有無にかかわらず有効です。利用中のSaaS製品について、提供元が第三者機関によるセキュリティ認証を取得しているか、脆弱性対応の体制をどう公表しているかを契約更新のタイミングで確認しておくと、自前システムを持たない事務所でも同様の視点を実務に取り入れられます。

脆弱性スキャンで顧問先の情報が外部に送信されることはありますか

Anthropicの発表では、スキャン対象はコードベースであるとされていますが、テストデータやログに実データが混在していれば、その部分がスキャン対象に含まれる可能性があります。本番データを事前に除外する運用ルールを整えておくことが実務的な対応になります。

パッチ提案はそのまま適用してよいですか

Anthropicの発表では、パッチ提案は人間のレビューと承認を経て適用する設計になっています。事務所としても、システムを実際に運用する担当者が内容を確認し、テスト環境での動作確認を経てから適用する工程を組み込むことが前提になります。

中小規模の事務所でも導入する意味はありますか

事務所規模にかかわらず、顧問先の個人情報を扱う自前システムを持っているかどうかが導入検討の分かれ目になります。自前システムが小規模であっても、顧問先情報を扱う以上はスキャン対象として検討する価値があります。

既存の脆弱性診断サービスと併用してもよいですか

Anthropicの発表内容からは併用を制限する記載は見当たりません。既存の診断サービスと役割が重なる部分もあるため、対象システムや診断範囲を事務所内ですみ分けておくと、コストと手間の重複を避けやすくなります。

スキャン結果は誰に共有すればよいですか

事務所内でシステムを運用する担当者と、システムを構築した外部委託先の双方に共有し、対応方針を協議する体制にしておくのが実務的です。顧問先に個別に共有する必要は通常はありませんが、重大な脆弱性が見つかり、顧問先情報への影響が疑われる場合には、影響範囲を確認したうえで説明を検討する場面もあり得ます。

8士業のうちどの職種にとくに関係がありますか

顧問先の個人情報や機密情報を自前システムで管理している事務所であれば、職種を問わず関係があります。とくに、相続関連の登記情報を扱う司法書士、許認可申請書類を扱う行政書士、従業員の労務情報を扱う社会保険労務士のように、機微な情報を継続的に蓄積するシステムを持つ事務所ほど、優先度の高い検討対象になります。

参考文献

• Bringing the cybersecurity capabilities of Claude Mythos 5 to more defenders（Anthropic公式ブログ）
• e-Gov法令検索 弁護士法第23条
• e-Gov法令検索 税理士法第38条
• e-Gov法令検索 公認会計士法第27条
• e-Gov法令検索 司法書士法第24条

事務所のAI利用規程については生成AI利用規程を職種別にどう変える 8士業の差分と作り方7手順、Claudeのトークン盗難に関する事案についてはClaudeのトークンが盗まれる被害が表面化｜士業事務所が今日見る3つの点も参考にしてください。

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/