厚労省が不正アクセス事案を受け注意喚起、士業事務所が確認したい3つの対策分野

厚生労働省が不正アクセスを踏まえたセキュリティ対策の徹底を注意喚起しました。

厚生労働省は、情報システムへの不正アクセスと個人情報を含むデータの窃取が相次いでいることを受け、所管事業者と関係団体にセキュリティ対策の徹底を求める注意喚起を掲載しました。掲載ページに日付の明記はなく、URLの表記から2026年10月30日の掲載とみられます（要確認）。注意喚起は医療分野を主な名宛てとしていますが、依頼人の個人情報や機微な情報を日常的に預かる弁護士、税理士、社会保険労務士、司法書士、行政書士などの事務所にとっても、自所の備えを見直す際の参考になる内容です。本記事では、公表された内容を事実ベースで整理し、士業事務所の現場で論点になりやすい点を紹介します。

何が公表されたか

注意喚起の背景として、厚生労働省は、大量の個人情報を扱う事業者の情報システムへの不正アクセスと、個人情報を含むデータの窃取が相次いで確認されている状況を挙げています。

そのうえで、内閣官房の国家サイバー統括室が事業者等に対し、委託先を含むサプライチェーン全体で次の三つの対策を検討するよう求めていることを紹介しています。一つ目は、セキュリティパッチやアップデートの適用といった脆弱性への対応です。二つ目は、多要素認証の導入など認証対策の強化です。三つ目は、データ保護の徹底です。

厚生労働省自身は、所管する事業者と関係団体に対して注意喚起を行ったと記載しています。経営層のリーダーシップの下で対策を強化するよう求めており、とりわけ大量の個人情報や機微な情報を扱う事業者に注意を促しています。医療機関と、医療機関に医療情報システムを提供する事業者に対しては、厚生労働省の医療分野のサイバーセキュリティ対策についてのページを確認するよう案内しています。

なお、掲載ページには具体的な法令名や条文番号の記載はありません。本記事でも条文には触れていません。

参考情報として紹介された四つの資料

掲載ページは、詳細を確認するための参考情報として次の四つを挙げています。

一つ目は、国家サイバー統括室の資料「不正アクセスによる漏えい等の事案を踏まえた対応について」です。厚生労働省のサイトにPDFが掲載されています。二つ目は、個人情報保護委員会が出した大規模な漏えい等事案を踏まえた対応についての注意喚起です。三つ目は、JPCERT/CCによる国内組織への不正アクセスに関する注意喚起です。四つ目は、IPAが不正アクセスの被害を受けた企業向けに設けた特別相談窓口です。

これらの資料の中身については、本記事では内容を確認していないため紹介しません。具体的な対策項目や相談窓口の対象範囲は、各ページで直接ご確認ください。

士業事務所にとっての論点

今回の注意喚起は士業を名宛てにしたものではなく、士業事務所に新たな手続や義務を課すものでもありません。掲載ページにも士業への言及はありません。ただし、次のような場面では論点になりうると考えられます。

一つ目は、自所の情報管理です。士業事務所は、給与や社会保険の情報、税務申告に必要な資料、契約書や訴訟関係の書類、登記や許認可の申請に必要な本人確認書類など、機微な個人情報を預かる業務が少なくありません。注意喚起が挙げる脆弱性対応、多要素認証、データ保護の三分野は、クラウド会計ソフトや勤怠システム、ファイル共有サービス、メールなどの設定を点検する際の切り口として使えます。

二つ目は、委託先を含む対策という観点です。国家サイバー統括室はサプライチェーン全体での検討を求めています。顧問先の側から、士業事務所に預けているデータの管理状況を尋ねられる場面が増える可能性があります。事務所が利用する外部のクラウドサービスや、電子申請、データ入力などの外部委託先について、管理状況を整理しておくという対応を採る事務所があります。

三つ目は、顧問先が被害に遭った場合の相談対応です。顧問先から不正アクセスの相談を受けたとき、IPAの特別相談窓口や個人情報保護委員会の注意喚起は、案内先の一例として知っておくと役に立ちます。ただし、個別の事案が報告や通知の対象になるかどうかの判断は、事実関係によって変わります。本記事は個別の事案への当てはめを行いません。

生成AIツールを使う事務所が確認したい点

近年は、書類の下書きや要約に生成AIツールを使う事務所も増えています。入力した情報が外部のサービスにどう扱われるかは、データ保護の観点で事務所ごとに整理しておきたい点です。入力データが学習に使われるかどうか、保存期間はどのくらいか、管理画面で設定を変更できるかは、ツールごとに異なります。各ベンダーの公式の利用規約やデータ取扱いのページでご確認ください。今回の注意喚起の掲載ページは、生成AIについては触れていません。

今後の動きと確認したい点

掲載ページの時点では、追加の通知や調査結果の公表予定は記載されていません。個人情報保護委員会、JPCERT/CC、IPAがそれぞれ出している情報は更新されることがあるため、定期的に原典を確認する段階です。

事務所内で動きやすい確認項目としては、次のようなものがあります。

利用中のOS、ソフトウェア、ネットワーク機器の更新状況を一覧にする
業務システムやクラウドサービスで多要素認証が使えるか、使っているかを確認する
預かったデータの保管場所とアクセスできる人を整理する
外部委託先と利用サービスの一覧を作る

いずれも、公表された三つの対策分野を事務所の実務に引き寄せた例であり、実施の要否や水準を示すものではありません。具体的な対応は、所管官庁や職能団体の案内、専門家の意見をご参照ください。

まとめ

厚生労働省は、不正アクセスと個人情報を含むデータの窃取が相次いでいることを受け、所管事業者と関係団体に対策の徹底を求める注意喚起を掲載しました。脆弱性対応、多要素認証などの認証強化、データ保護の三分野を、委託先を含むサプライチェーン全体で検討するよう求める国家サイバー統括室の呼びかけを紹介する内容です。士業を直接の対象とするものではありませんが、依頼人の機微な情報を預かる事務所にとって、自所の備えを見直す材料になります。

参考文献

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/

引用元: 厚生労働省

本記事の作成体制について

本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で、それぞれ確認したうえで記載しています。引用元は本文中および参考文献にすべて明示しています。

本記事には特定の資格者による監修は入っていません。個別の事案について法令の当てはめや手続の可否を判断する必要がある場合は、当該分野の有資格者にご相談ください。本記事は一般的な情報提供を目的としたものであり、個別具体的な法律判断・税務判断・労務判断を提供するものではありません。

記載内容に誤りを見つけられた場合は、お問い合わせよりご指摘ください。確認のうえ速やかに訂正し、訂正履歴を記事内に残します。編集方針の詳細は運営者情報をご覧ください。