技術的安全管理措置とは、個人データの漏えいを技術面で防ぐ措置のことです。

顧問先の個人データを預かる事務所として、外部からの不正アクセスにどこまで備えているか。個人情報保護委員会は令和8年10月7日に、大規模な漏えい等事案を踏まえた注意喚起を公表しました（出典: 個人情報保護委員会 大規模な漏えい等事案を踏まえた対応について（注意喚起））。この記事では、注意喚起が示した技術的安全管理措置の整理を士業事務所の運用に引き直し、点検の順番と記録の残し方を7項目にまとめます。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で確認しています。注意喚起の本文は個人情報保護委員会のPDFで確認でき、その中で技術的安全管理措置は5項目に整理されています（出典: 個人情報保護委員会 注意喚起本体PDF）。

漏えい注意喚起の内容と、士業事務所が読むときの前提

注意喚起の対象として挙げられているのは、大量の個人データを扱う事業者、利用者が多い事業で高いシェアを持つ事業者、機微性や財産的被害、詐欺への利用のおそれが高い個人情報を扱う事業者などです（出典: 個人情報保護委員会 注意喚起本体PDF）。小規模な士業事務所がこの対象に入るかどうかは、保有する個人データの量と性質によって変わります。この記事では対象かどうかの判断はせず、注意喚起が示した考え方を点検の物差しとして借りる立場で書きます。

注意喚起には、安全管理措置の読み方も整理されています。個人情報保護法のガイドライン（通則編）の別添は、講じなければならない措置と手法の例示で構成されています。原文は、手法の例示は例であり、すべてを講じなければ直ちに法違反となるわけではないとしています。具体的な手法は、漏えいした場合の本人の権利利益の侵害の大きさを考慮し、事業の規模や性質、個人データの取扱状況、媒体の性質などのリスクに応じて決めるものとされています（出典: 個人情報保護委員会 注意喚起本体PDF）。

つまり、大手と同じ設備を一律に求める文書ではありません。事務所の規模でどこまでを手法として採るかを、自分たちで説明できる形にしておくことが問われます。この説明可能性が、本記事の点検項目の軸です。

手法の例示そのものは今後見直される予定です。報道発表資料によれば、令和8年9月16日の第369回委員会で、ガイドライン別添の見直しが決議されています。注意喚起は、見直しの内容の確定を翌年の4月と案内しています。注意喚起は見直し予定の内容を先取りして、別紙で現時点の技術的安全管理措置を示しています（出典: 個人情報保護委員会 報道発表資料PDF）。確定前の内容を含む点に注意が必要で、事務所の規程に取り込むときは、確定版が出た時点で差分を確認する前提で運用するのが現実的です。

法律の枠組みも、条文で確認しておきます。個人情報保護法第23条は、個人情報取扱事業者が取り扱う個人データの漏えい、滅失又は毀損の防止その他の安全管理のために、必要かつ適切な措置を講じなければならないと定めています。個人情報保護法第25条は、個人データの取扱いを委託する場合に、委託を受けた者に対する必要かつ適切な監督を行わなければならないと定めています。クラウド会計や生成AIサービスを使う事務所にとっては、この第25条が委託先の管理の論点につながります。漏えい等が生じた場合の報告は、個人情報保護法第26条に定められています。

同じ日付で、個人情報保護委員会はWARNING（不正アクセスによる個人データ漏えい防止のための注意喚起）を改訂しています。この資料は令和6年12月11日に作成され、令和8年10月7日に改訂されました。9つの事例類型と対策例が示されているため、自事務所の事故シナリオを考える材料になります（出典: 個人情報保護委員会 大規模な漏えい等事案を踏まえた対応について（報道発表））。金融機関向けの個人情報保護Q&Aでサイバー攻撃の報告様式が整理された動きは、別の記事で整理しています（参照: 金融機関の個人情報保護Q&A改正、サイバー攻撃報告様式を10月新設）。

技術的安全管理措置の5項目を事務所の点検に置き換える7手順

注意喚起の別紙は、技術的安全管理措置を5項目に整理しています。アクセス制御、アクセス者の識別と認証、外部からの不正アクセス等の防止、情報システムの使用に伴う漏えい等の防止、不正アクセス等の検知等の5つです（出典: 個人情報保護委員会 注意喚起本体PDF）。以下の7手順は、この5項目に、事務所で先に必要になる棚卸しと記録の作業を加えて並べたものです。各手順に、何を入力し、何が返るかを添えます。

手順1は、保有する個人データの置き場所を一覧にすることです。入力するのは、事務所のファイルサーバー、クラウド会計、勤怠や給与のシステム、メール、チャット、スタッフの私物端末、生成AIサービスといった、顧問先の個人データが通る場所の名前です。返るのは、場所ごとの種類、持ち主、保管期間の列です。置き場所が分からなければ、以降の措置は議論できません。マイナンバーや従業員の給与データのように、漏えいした場合の影響が大きい情報がどこにあるかは、最初に印を付けておきます。

手順2は、アクセス制御の棚卸しです。注意喚起の別紙は、担当者や情報システムの範囲を限定する例として、IPアドレスによる制限、アクセス権の最小化、権限の定期的な棚卸しを挙げています（出典: 個人情報保護委員会 注意喚起本体PDF）。入力するのは、手順1の置き場所ごとのアカウント一覧です。返るのは、退職者や担当替えのスタッフに残っている権限の候補です。小規模事務所では、共有アカウントが残っていないかを最初に確認します。

手順3は、識別と認証の強化です。別紙は、ID・パスワードの管理に加えて、フィッシング耐性のあるものを含む多要素認証を例に挙げています（出典: 個人情報保護委員会 注意喚起本体PDF）。入力するのは、手順1の各サービスの認証設定画面です。返るのは、多要素認証が有効なサービスと無効なサービスの区分です。無効なサービスは、提供元が多要素認証を用意しているかを確認し、用意がなければ代替の運用を記録します。

手順4は、外部からの不正アクセスを防ぐ基本の確認です。別紙には、ファイアウォールやセキュリティ対策ソフトの導入、OSやソフトウェアの最新化、未許可ソフトの導入防止が例として挙がっています（出典: 個人情報保護委員会 注意喚起本体PDF）。入力するのは、事務所の端末とネットワーク機器の一覧です。返るのは、更新が止まっている端末の一覧です。スタッフが自分で入れた生成AIの拡張機能やアプリが業務端末に残っていないかも、このとき併せて確認します。

手順5は、システムの使用に伴う漏えいの防止です。別紙は、テストデータの最小化、通信やファイルの暗号化、クラウド上のデータの復元困難な消去などを例に挙げています（出典: 個人情報保護委員会 注意喚起本体PDF）。生成AIの利用に引き直すと、顧問先の資料を投入する前に、氏名や口座番号を伏せた版を用意しているか、という確認になります。入力するのは、生成AIに投入している資料の種類です。返るのは、伏せ字化できる資料とできない資料の区分です。

手順6は、検知と記録です。別紙は、ログの保管と保護、定期的な分析、IDSやIPS、EDRなどによる常時監視、侵害が疑われるときの停止や隔離、アカウントの無効化による被害拡大の防止を例に挙げています（出典: 個人情報保護委員会 注意喚起本体PDF）。小規模な事務所では、常時監視を自前で持つのは難しい場合があります。その場合は、クラウドサービス側の管理画面に出るログイン履歴の確認を月次の作業に入れ、確認した日付を残す運用が考えられます。

手順7は、不要になった個人データの消去の根拠を確認することです。注意喚起は、個人情報保護法第22条に基づき、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求めています。同条の文言は、利用目的の達成に必要な範囲内で個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは遅滞なく消去するよう努めなければならない、というものです。法令で保存期間が定められている場合は除かれるため、保管している資料ごとに、保存の根拠となる法令や契約を確認します。この確認は有資格者が行い、消去の可否はAIに判断させません。

あなたは士業事務所の情報管理担当の補助です。以下は、架空のA事務所が顧客データを置いているサービスの一覧です。
各サービスについて、次の4列で整理してください。
1. 保管している個人データの種類
2. アカウントの管理者
3. 多要素認証の有無（不明なら不明と書く）
4. 保管期間の根拠として確認が必要な法令や契約
不明な点は推測で埋めず、不明と書いてください。最後に、確認が必要な事項を優先度の高い順に並べてください。

以下は、A事務所の保有資料の一覧です。法令上の保存期間が定められている資料と、定められていない資料を分けてください。
ただし、条文番号や保存年数を断定せず、確認先の法令名の候補だけを挙げてください。
最終的な保存と消去の判断は有資格者が行うため、判断材料となる質問のリストを作ってください。

顧問先の個人データを預かる事務所が決めておく守秘義務と規程の論点

士業には、業務上知り得た秘密を守る義務が各業法に定められています。弁護士法第23条は、弁護士又は弁護士であつた者が職務上知り得た秘密を保持する権利を有し、義務を負うと定めています。税理士法第38条は、税理士が正当な理由がなくて税理士業務に関して知り得た秘密を他に洩らし、又は窃用してはならないと定めています。公認会計士法第27条、司法書士法第24条、行政書士法第12条、社会保険労務士法第21条、弁理士法第30条にも、それぞれ秘密を守る義務の規定があります。条文の文言と範囲は職種ごとに異なるため、自事務所の職種の条文を原文で確認してください。

個人情報保護法の安全管理措置と、業法の守秘義務は、重なる部分があっても別の根拠です。技術的な措置を整えることは、守秘義務の議論を代替しません。逆に、守秘義務の規程があるだけでは、ログの確認や多要素認証といった技術面の記録の説明にはなりません。この二つを一つの規程の中で並べて書いておくと、顧問先や監督官庁から問われたときに説明しやすくなります。

生成AIの利用は、手順5で触れた投入データの扱いに加えて、委託先の監督の論点があります。事業者向けのプランで、入力内容が学習に使われない設定になっているかは、ベンダーの公式ドキュメントで確認する事項です。たとえばAnthropicは、データを学習に使うかどうかを、プランと設定ごとに公式のプライバシーセンターで説明しています（出典: Anthropic プライバシーセンター Is my data used for model training?）。利用中のサービスについて、公式ドキュメントの確認日を規程の別表に残す運用が考えられます。

事務所の規程に書く事項の例を挙げます。保有する個人データの置き場所の一覧とその更新担当、アカウントの棚卸しの頻度、多要素認証を有効にするサービスの範囲、生成AIに投入してよい資料の区分、ログ確認の頻度と記録先、不要データの消去の判断者です。これらは運用例であり、事務所の規模や職種によって適切な水準は変わります。個別の事務所に当てはめた規程の内容は、事務所の責任者と有資格者が判断してください。

顧問先への説明も、規程の一部として考えます。顧問先の個人データを生成AIやクラウドサービスに預ける場合の説明と同意の取り方は、事務所によって運用が分かれます。契約書や業務委託の書面に、利用するクラウドサービスの種類や、再委託の有無を記載する事務所があります。注意喚起をきっかけに、顧問先から事務所の情報管理の状況を問われる場面は増えると見込まれるため、点検の記録を提示できる状態にしておく価値があります。個人情報保護法の令和8年改正の論点を顧問先にどう伝えるかは、別の記事で整理しています（参照: 個人情報保護法の令和8年改正、課徴金とAI学習特例を顧問先に説明する7論点）。

点検が形骸化する三つの失敗例と回避策

一つ目の失敗は、一覧を作っただけで更新が止まることです。置き場所の一覧は、作成時点では正確でも、新しいクラウドサービスや生成AIツールが導入されるたびに古くなります。回避策として、新しいサービスを使い始める前に、一覧への追記を導入の条件に入れる運用が考えられます。追記の担当者を決めず、全員の責任にすると、結局誰も更新しないという形で失敗します。

二つ目の失敗は、多要素認証を有効にしたつもりで、一部のアカウントが対象外になっていることです。管理者のアカウントだけに設定し、スタッフのアカウントは未設定のままという状態は、設定画面を見ない限り気付けません。回避策は、手順3で作った有効と無効の区分を、四半期ごとに画面で再確認することです。再確認の日付と確認者を残すことが、後で説明できる記録になります。

三つ目の失敗は、保管している資料の消去を、確認なしに進めてしまうことです。個人情報保護法第22条は消去を求める方向の規定ですが、法令で保存期間が定められている資料は例外として扱われます。契約や書類の保存期間は、職種や業務によって異なります。消去の前に、保存の根拠を有資格者が確認する工程を挟む運用にすると、消してはいけない資料を消す事故を避けられます。生成AIに消去対象を判断させるのは避け、候補の整理にとどめます。

点検にかかる費用と工数の見方

費用の中心は、新しい製品の購入ではなく、確認作業の時間です。手順1から手順7を、スタッフが数名程度の事務所で初めて通すと、置き場所の洗い出しとアカウントの確認で数日分の作業が見込まれます。これは筆者の目安であり、事務所の規模やシステム数によって大きく変わります。公的な統計や調査に基づく数字ではないため、自事務所のサービス数から見積もってください。

多要素認証は、多くのクラウドサービスが標準機能として提供しています。追加の費用がかかるかどうかは、サービスごとの料金ページで確認する事項です。EDRのような常時監視の製品は、導入と運用に費用と専門知識が必要になるため、事務所の規模で採るかどうかを判断します。注意喚起が示す手法の例示は、すべてを採る必要はないという立て付けのため、採らない手法とその理由を記録に残すことも、説明可能性を高める作業です。

体制は、点検の責任者を一人決めることから始まります。有資格者本人が持つ場合と、事務長のような立場の人が持つ場合がありますが、守秘義務の最終的な責任は有資格者にあるため、年に一度は有資格者が点検結果を確認する場面を設けておくと運用が安定します。生成AIは、チェックリストの下書きや、ログの要約の補助に使えます。ただし、ログの中身を要約に出す前に、個人データが含まれていないかを確認する必要があります。

確定版の公表に向けて事務所が持っておく視点

今回の注意喚起は、手法の例示の見直しの途中経過として読むのが適切です。確定が翌年4月とされている以上、事務所の規程は、今の時点の整理を入れつつ、確定版が出たら差分を確認する形にしておくと手戻りが少なくなります。見直しで何が追加され、何が整理されるかは、個人情報保護委員会の公表を待つ事項です。

士業事務所にとっての論点は、クラウドと生成AIの利用が広がる中で、委託先の管理をどう記録するかです。注意喚起そのものは、不正アクセスによる漏えいを念頭に置いた技術面の整理ですが、事務所が預かる顧問先のデータの量は、会計や労務のシステムをクラウドに置くほど増えていきます。事務所が自前で守る範囲と、サービス提供元に任せる範囲を分けて、記録に残しておくことが、今後の問い合わせへの備えになります。

よくある質問

小規模な事務所も注意喚起の対象になりますか

注意喚起が対象として挙げているのは、大量の個人データを扱う事業者などです。小規模な事務所が対象かどうかは、保有する個人データの量と性質で変わるため、個別には判断しません。ただし、手法をリスクに応じて選ぶという考え方は、事務所の規模にかかわらず参考になります（出典: 個人情報保護委員会 注意喚起本体PDF）。

手法の例示をすべて採らないと法違反になりますか

原文は、手法の例示は例であり、すべてを講じなければ直ちに法違反となるわけではないとしています。具体的な手法は、リスクに応じて必要かつ適切な内容とされています。採らなかった手法と、その代わりに採った運用を記録しておくと、説明に使えます（出典: 個人情報保護委員会 注意喚起本体PDF）。

見直し後のガイドラインはいつ確定しますか

注意喚起は、内容の確定を翌年の4月と案内しています。それまでは、今回の別紙が見直し予定の内容を先取りして示した位置付けです。確定前の内容を含むため、確定版の公表時に差分を確認してください（出典: 個人情報保護委員会 注意喚起本体PDF）。

生成AIの利用ログも点検の対象になりますか

生成AIサービスに管理画面があれば、ログイン履歴や利用履歴を確認できる場合があります。事務所の運用として、どのサービスのどのログを何の頻度で確認するかを、手順6の記録に入れておく考え方があります。提供される機能はサービスとプランによって異なるため、公式ドキュメントで確認してください。

不要になった個人データは、すぐに消す扱いになりますか

個人情報保護法第22条は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求める条文です。ただし、法令で保存期間が定められている場合は別に扱われます。消去の前に、保存の根拠を有資格者が確認する運用が考えられます。

この記事の手順をそのまま規程にしてよいですか

この記事の手順は、公表された注意喚起の整理を運用の形にした一例です。事務所の職種、規模、扱う個人データの性質で適切な内容は変わるため、規程化の際は事務所の責任者と有資格者が内容を確認してください。

参考文献

• 個人情報保護委員会 大規模な漏えい等事案を踏まえた対応について（注意喚起）
• 個人情報保護委員会 注意喚起本体PDF
• 個人情報保護委員会 報道発表資料PDF
• e-Gov法令検索 個人情報保護法第23条
• e-Gov法令検索 個人情報保護法第25条
• e-Gov法令検索 税理士法第38条
• Anthropic プライバシーセンター Is my data used for model training?

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/