税理士事務所のスタッフには、事務所を辞めた後も顧客の秘密を守る義務があると、税理士法に定められています。個人情報保護法も、事業者に従業者の監督と安全管理のための措置を求めています。ところが、辞めたスタッフのアカウントが使えるまま残っている事務所もあります。この記事では、スタッフを雇う士業事務所が、入社から退職までアカウントと権限をどう管理すればよいかを解説します。
参照：税理士法（e-Gov法令検索）第54条／個人情報の保護に関する法律（e-Gov法令検索）第23条・第24条
結論：今日やるべき3つのこと
- 全員に専用のアカウントを持たせる：共有アカウントと共有パスワードはやめてください。
- 多要素認証（MFA）を設定する：使えるサービスでは、すべて有効にしましょう。
- 入社時と退職時の手順を決める：無料のチェックシートをそのまま使えます。
あなたの事務所はどのタイプ？
A．Google Workspace（独自ドメインのGmail等）を使っている → Google Workspaceの退職時の操作へ
B．Microsoft 365（Outlook・OneDrive等）を使っている → Microsoft 365の退職時の操作へ
C．どちらも使っていない（個人のGmail、事務所のパソコン、NASが中心） → まず管理すべきアカウントの洗い出しへ
知りたいことから読む
アカウント・権限管理を放置すると何が起きる？
辞めたスタッフが、顧客のデータを見られるままになる
クラウドのアカウントを止めない限り、辞めたスタッフは自宅のパソコンからでも顧客のフォルダを開けるのが実情です。本人に悪意がなくても、そのアカウントが第三者に乗っ取られれば、事務所のデータへの入口がそのまま開いた状態になります。
共有アカウントでは「誰が何をしたか」がわからない
1つのアカウントを全員で使うと、操作の履歴から個人を特定できません。情報が漏れても原因を追えず、誰か1人が辞めるたびにパスワードを変える手間も発生します。
「リンクを知っている全員」の共有設定から漏れる
Googleドライブなどで「リンクを知っている全員」が見られる設定にすると、URLさえわかれば誰でもファイルを開けます。急ぎで顧客に書類を送るために設定し、そのまま忘れてしまうのが典型的な流れです。
多要素認証がないと、アカウントを乗っ取られやすい
Microsoftは、同社の調査で、多要素認証（MFA）がアカウント侵害攻撃の99.2％以上を防げると示しています。反対に、MFAがないことが被害の入口になった例もあります。通販企業のアスクルは2025年10月にランサムウェアの被害を受け、約72万件の顧客情報を含む情報が流出しました。同社は、多要素認証を適用していなかった認証情報が盗まれ、社内ネットワークに侵入されたと公表しています。
参照：Microsoft Learn Plan for mandatory Microsoft Entra multifactor authentication／Microsoft Research How effective is multifactor authentication at deterring cyberattacks?／IPA 情報セキュリティ10大脅威2026［組織編］解説資料
資格者の電子証明書が、本人以外に使われている
士業ならではのリスクです。電子申請に使う資格者の電子証明書とその暗証番号を、スタッフに預けていないでしょうか。詳しくは電子証明書の管理のルールで解説します。
なお、IPAが毎年公表する「情報セキュリティ10大脅威」の2026年版では、組織向けの脅威の7位に「内部不正による情報漏えい等」が入っています。
参照：IPA プレス発表「情報セキュリティ10大脅威 2026」を決定／日本経済レポート IPA「情報セキュリティ10大脅威 2026」を公表
なぜ士業事務所に権限管理が必要なのか：3つの法的根拠
① 士業法：補助者の守秘義務は、辞めた後も続く
多くの士業法は、資格者本人だけでなく、事務所のスタッフにも秘密を守る義務を課しています。しかも、事務所を辞めた後も義務は続くと明記しているのが特徴です。
| 資格 | 資格者本人 | スタッフ（補助者・使用人） |
|---|---|---|
| 税理士 | 税理士法 第38条 | 税理士法 第54条（使用人等の秘密を守る義務） |
| 行政書士 | 行政書士法 第12条 | 行政書士法 第19条の3（使用人等の秘密を守る義務） |
| 社労士 | 社会保険労務士法 第21条 | 社会保険労務士法 第27条の2（使用人等の秘密を守る義務） |
| 司法書士 | 司法書士法 第24条 | 補助者を置いたときは司法書士会へ届出（司法書士法施行規則） |
| 弁護士 | 弁護士法 第23条 | 弁護士職務基本規程 第19条（事務職員等の指導監督） |
参照：税理士法／行政書士法／社会保険労務士法／司法書士法／司法書士法施行規則（Lawzilla）／弁護士法／弁護士職務基本規程 第19条の解説（LEALA.）（いずれも2026年9月確認）
たとえば税理士法第54条は、税理士事務所の使用人などが業務上知った秘密を漏らすことを禁じ、使用人でなくなった後も同じと定めているのです。法律上の義務は退職後も続くのに、アカウントだけが生きている。この状態をなくすのが、権限管理の目的です。
② 個人情報保護法：小さな事務所でも「緩やかな基準」の対象外になり得る
個人情報保護法は、事業者に個人データの安全管理のための措置（第23条）と、従業者の監督（第24条）を求めています。この義務は、事業者の規模にかかわらずかかります。
ただし、個人情報保護委員会のガイドラインは、従業員100人以下の「中小規模事業者」に、大企業より緩やかな対応を認めています。中小規模事業者の最低限の対応としては、個人データを扱うパソコンと使う人を決め、ID・パスワードで認証し、IDとパスワードを共有しないことが示されています。
注意したいのは、この特例には例外があることです。従業員が100人以下でも、次のどちらかに当てはまる事業者は「中小規模事業者」に含まれません。
- 扱う個人情報の数が、過去6か月以内のいずれかの日に5,000人を超えた事業者
- 委託を受けて個人データを取り扱う事業者
士業事務所は、顧問先から委託を受けて、顧問先の従業員などの個人データを扱うことがあります。たとえば年末調整や給与計算の受託です。こうした業務をしている事務所は、スタッフが数人でも、緩やかな特例の対象外になる可能性があります。自分の事務所が当てはまるかは、業務の内容によって変わるため、個別に確認してください。
参照：個人情報の保護に関する法律（e-Gov法令検索）／個人情報保護委員会 個人情報の保護に関する法律についてのガイドライン（通則編）／個人情報保護委員会事務局「個人情報保護法の基本」／個人情報保護委員会 よくある質問／りそなCollaborare 4つの安全管理措置の概要
③ マイナンバー：担当者を決め、アクセスを制限する
税理士や社労士の事務所は、マイナンバーを日常的に扱います。マイナンバーの取扱いについては、個人情報保護委員会がガイドライン（事業者編）を定めています。
このガイドラインでも、中小規模事業者の定義から、委託を受けてマイナンバーを扱う事務を業務として行う事業者は除かれている点に注意が必要です。技術的な措置としては、情報システムでマイナンバーを扱う場合、事務取扱担当者と、扱うファイルの範囲を限定するようアクセス制御を行う必要があります。
ガイドラインは、「しなければならない」と書かれた事項に従わない場合、法令違反と判断される可能性があるとしています。「マイナンバーを扱うスタッフを決め、それ以外の人は見られないようにする」は、推奨ではなく義務として考えてください。
参照：個人情報保護委員会 特定個人情報の適正な取扱いに関するガイドライン（事業者編）／同ガイドライン本文（PDF・令和6年5月一部改正）／同ガイドライン（案）に関する意見募集の結果
この章は、法令とガイドラインの概要を紹介するものです。自分の事務所にどの義務がかかるかの判断は、所属する士業会や、個人情報保護委員会の相談窓口などで確認してください。
事務所で管理すべきアカウントの一覧
権限管理の第一歩は、事務所にどんなアカウントがあるかを知ることです。Google WorkspaceやMicrosoft 365を使っていない事務所でも、管理すべきアカウントはたくさんあります。
| 区分 | 具体例 | 見落としやすい点 |
|---|---|---|
| パソコン | Windowsのサインイン | 1台を複数人で同じアカウントで使っている |
| メール | Gmail、Outlook、プロバイダのメール | 個人のGmailを業務に使っている |
| クラウドストレージ | Googleドライブ、OneDrive、Dropbox | 共有リンクが残っている |
| 事務所内の共有 | NAS、共有フォルダ | 全員が全フォルダを見られる |
| 業務ソフト | 会計・申告・給与計算ソフト | 顧問先ごとの権限を分けていない |
| 電子証明書 | 資格者の電子証明書、ICカード | 暗証番号をスタッフが知っている |
| 行政・金融 | 電子申請、ネットバンキング | ログイン情報を共有している |
| 機器 | 複合機、Wi-Fi | 辞めたスタッフも知っている |
| その他 | 生成AI、チャット、Web会議 | 個人の無料アカウントで使っている |
この表は、配布しているExcelのチェックシートの「アカウント一覧」とそのまま対応しています。誰がどのアカウントを使えるかを書き込めば、入社や退職のたびに見直す基準になります。
権限管理の6つの基本ルール
1．1人に1つのアカウントを発行する
パソコンのWindowsのアカウントも、クラウドのアカウントも、スタッフごとに分けます。個人情報保護委員会が示す中小規模事業者の最低限の対応にも、IDとパスワードを共有しないことが含まれています。
2．パスワードは使い回さず、パスワードマネージャーで管理する
サービスごとに異なる長いパスワードを使い、覚えるのはパスワードマネージャーに任せます。辞めたスタッフの利用を止めるときも、管理画面から外すだけで済みます。
代表的な1Passwordには、10人までのチーム向けの「Teams Starter Pack」があり、年払いで月24.95ドルです。11人以上になると、1人あたり月8.99ドルのBusinessプランに移ります。無料プランや低価格のプランがあるBitwardenも選択肢です。
参照：1Password Business & Teams Pricing（2026年9月確認）
3．使えるサービスは、すべて多要素認証（MFA）にする
パスワードが漏れても、スマートフォンの認証アプリなどがなければログインできない状態を作ります。Google WorkspaceやMicrosoft 365では、管理者が組織全体にMFAを求める設定ができます。スタッフ個人の判断に任せないことが大切です。
4．必要な人に、必要な分だけ権限を与える
全スタッフが全顧客のフォルダを見られる状態は、必要以上の権限です。担当する顧問先や案件のフォルダだけを見られる状態を目指します。会計ソフトやクラウドストレージも、顧問先ごとにアクセスできる人を分けます。マイナンバーを扱うファイルは、事務取扱担当者だけに限定してください。
Googleドライブの「リンクを知っている全員」の設定は、年に1回は棚卸しします。スタッフが辞めたときも、本人が作った共有リンクが残っていないか確認しましょう。
5．資格者の電子証明書と暗証番号は、本人だけが扱う
税理士の電子証明書は、2025年8月から第六世代への切り替えが始まりました。第六世代では、電子証明書はクラウド上の署名サーバーに保管され、「税理士認証カード」で本人を認証して署名します。紫色のICカードだった第五世代の電子証明書は、2026年4月1日以降は使えません。
税理士認証カードと第六世代の電子証明書は、個人にのみ発行され、税理士法人の名義では発行されません。予備として複数取得することもできない仕組みです。つまり、このカードと暗証番号は、資格者本人のためだけのものです。
原則として、暗証番号はスタッフに教えないでください。これまで共有していた場合は、スタッフが辞めたときに、日税連の管理ツールで暗証番号を変更できます。なお、暗証番号を紛失した場合について、日税連の案内では、第三者に不正に使われるおそれがあるので、税理士認証カードの効力を取り消すことが望ましいとしています。カードを再発行する場合は、5,000円の交付手数料がかかる場合があります。
司法書士や弁護士など、他の資格の電子証明書も、同じ考え方で扱ってください。
参照：日本税理士会連合会 税理士用電子証明書の発行【第六世代】／日本税理士会連合会 第六世代税理士用電子証明書管理ツール よくある質問／TKC「第六世代税理士用電子証明書」を利用いただくためのご注意
6．生成AIのアカウントも、事務所で管理する
IPAの「情報セキュリティ10大脅威2026」では、「AIの利用をめぐるサイバーリスク」が初めて選ばれました。生成AIを個人の無料アカウントで使うと、顧客情報を入力しても事務所は把握できません。使うサービスとルールを事務所で決め、アカウント一覧にも載せましょう。
参照：IPA 情報セキュリティ10大脅威2026 解説書［組織編］
▶ 関連記事：士業のための生成AIセキュリティガイド
入社時のアカウント発行の手順
権限管理は、スタッフを迎えるときから始まります。入社時に正しく設定しておけば、退職時の作業もずっと楽になります。
入社前：パソコンを初期設定する
- スタッフ専用のWindowsアカウントを作る
- スタッフのアカウントは「標準ユーザー」にし、管理者権限を与えない
- ドライブの暗号化（BitLocker等）を有効にする
- OSとセキュリティソフトを最新の状態にする
個人情報保護委員会のガイドラインも、個人データを扱う機器のOSを最新に保ち、セキュリティ対策ソフトを導入することを手法の例に挙げています。
参照：中小規模事業者がとるべき個人情報保護法の安全管理措置（ガイドライン通則編の引用）
▶ スタッフ用のパソコン選びは：士業PC購入完全ガイド／セキュリティソフトは：セキュリティソフトの選び方
入社前：必要なアカウントだけを発行する
アカウント一覧を見ながら、そのスタッフの仕事に必要なものだけを選びます。権限は最初は最小限にし、必要に応じて足していく方が安全です。マイナンバーを扱わせる場合は、事務取扱担当者として明確にしておきます。
初日：MFAとパスワードマネージャーを設定する
初日のうちに、すべてのアカウントでMFAを設定させ、パスワードマネージャーの使い方を説明します。後回しにすると、共有パスワードや紙のメモが生まれる原因になるでしょう。
初日：守秘義務とIT利用のルールを説明する
士業法の守秘義務は、事務所を辞めた後も続くことを伝えます。あわせて、秘密保持の誓約書を取り交わしておくと、義務を本人に意識してもらいやすくなるはずです。誓約書の書式は、所属する士業会の資料などを参考にしてください。
退職・異動時の手順
退職時の作業は、当日だけでは終わりません。2週間前から段階的に進めると、抜け漏れを防げます。
| タイミング | やること |
|---|---|
| 退職2週間前 | アカウント一覧で、そのスタッフが使えるものをすべて洗い出す |
| 退職1週間前 | 担当案件のファイルを、所長や後任者の管理下へ移す |
| 退職数日前 | 不要な編集権限を閲覧のみにするなど、権限を縮める |
| 退職当日（業務終了後） | すべてのアカウントを止め、共有パスワードを変える |
| 端末の返却時 | パソコンなどを回収し、データを消去してから再利用する |
| 退職後1か月以内 | 共有リンクの残りを確認し、アカウント一覧を更新する |
配布しているExcelのチェックシートでは、退職日を入れると、各作業の期限日が自動で計算されます。
Microsoft 365の場合：パスワードのリセットから
Microsoftの公式の手順では、不正アクセスを防ぐ最初の手順はパスワードのリセットです。サインインのブロックは、効くまでに最大24時間かかることがあるためです。退職当日は、次の順で操作します。
- 管理センターでパスワードをリセットする
- すべてのセッションからサインアウトさせる
- サインインをブロックする
OneDriveのデータは、別のスタッフにアクセス権を与えて引き継げます。ユーザーを削除した後、アクセス権を与えられたスタッフは、既定では30日間ファイルを開いてダウンロードすることが可能です。
参照：Microsoft Learn 手順1 – ユーザーのサインインを禁止し、Microsoft 365へのアクセスをブロックする／Microsoft Learn OneDriveの保持と削除
Google Workspaceの場合：停止してから、移管して削除する
退職当日は、まずユーザーを停止します。停止されたユーザーは、組織のGoogleサービスにアクセスできません。
ユーザーを削除する場合は、先にデータを移管します。特権管理者は、削除の手続きの中で、ファイルやデータを新しいオーナーに移管できます。移管しなかったデータは削除される仕組みです。一部のデータは20日間保持され、その間なら削除したユーザーを復元できます。
データを残したまま費用を抑えたい場合は、アーカイブユーザーライセンスを割り当てる方法も選択肢です。
参照：Google Workspace 管理者ヘルプ「離職した従業員のデータを保持するためのオプション」／Google Workspace 組織からユーザーを削除する／Google Workspace 元従業員のアカウントをアーカイブする
どちらも使っていない場合：一つずつ止める
一括で止める管理画面がないため、アカウント一覧を見ながら一つずつ対応します。
- Windowsのアカウントを無効化する
- NASや共有フォルダの利用者を削除する
- 会計・申告ソフトの利用者を削除する
- 本人が知っていた共有パスワード（Wi-Fi・複合機など）を変更する
- 資格者の電子証明書の暗証番号を共有していた場合は、変更する
- 生成AIやチャットなど、事務所で契約しているサービスから外す
端末の回収と初期化
回収したパソコンは、データを消去してから再利用・廃棄してください。私物の端末を業務に使っていた場合は、業務アプリからのサインアウトと、業務データの削除を確認してください。
▶ 関連記事：修理や処分のときに顧客データを守る方法（PC保証ガイド）
アカウント管理に使えるツール
| 事務所のタイプ | まず使うもの | 補うもの |
|---|---|---|
| A．Google Workspace | Google管理コンソール | パスワードマネージャー |
| B．Microsoft 365 | Microsoft 365管理センター | パスワードマネージャー |
| C．どちらでもない | パスワードマネージャーとアカウント一覧 | 将来的にA・Bへの移行を検討 |
Google Workspace・Microsoft 365の管理画面
どちらも、スタッフの追加や停止、MFAの強制などを1つの画面で管理できます。Microsoft 365 Business Premiumは、1ユーザーあたり月3,298円（年払い、税抜）です。最大300ユーザーに対応するIDとアクセスの管理が含まれるため、スタッフ数人の事務所なら、IDを管理するサービスを別に契約する必要はありません。
参照：Microsoft 365 Business Premium（2026年9月確認）
どちらを選ぶか迷っている方は、次の記事を参考にしてください。
▶ 関連記事：士業のWord・Excel・Microsoft 365選び方ガイド／Google Workspace導入 士業のためのGemini実践ガイド
パスワードマネージャー
Google WorkspaceやMicrosoft 365を使っていない事務所こそ、パスワードマネージャーが管理の中心になります。料金は基本ルールの2で紹介しています。
【無料配布】入退社時のアカウント管理チェックシート
この記事の内容を、そのまま事務所で使えるExcelにまとめました。
- アカウント一覧：事務所のアカウントと、誰がどの権限で使えるかを記録。MFA未設定の件数を自動で集計
- 入社時チェック：入社前から1週間以内にやることを14項目で確認
- 退職時チェック：退職日を入れると、18項目の期限日を自動で計算
※パスワードそのものは記入しないでください。ファイル自体の保存場所とアクセスできる人も限定してください。
よくある質問
Q．無料のGmailを業務で使ってもいいですか？
Googleの規約は、個人のアカウントを業務で使うことを禁じていません。規約の定義では、取引やビジネスなどに使う人を「ビジネスユーザー」として想定しています。問題は管理の面です。無料のGmailは本人のアカウントなので、スタッフが辞めても、事務所の側から止めることもデータを引き継ぐこともできません。スタッフを雇うなら、事務所で管理できるアカウントへの移行をおすすめします。
Q．スタッフが1人だけでも、対策は必要ですか？
必要です。個人情報保護法の義務は、事業者の規模にかかわらずかかります。スタッフが1人でも、共有アカウントをやめ、退職時にアカウントを止める手順は決めておきましょう。
参照：個人情報保護委員会 安全管理措置及び小規模の事業者への配慮に関する基本的な考え方
Q．辞めたスタッフのアカウントは、削除と停止のどちらがいいですか？
まず停止し、データを引き継いでから削除するのが安全です。いきなり削除すると、データを移管し忘れたときに取り戻せなくなるおそれがあります。
Q．パスワードを紙に書いて管理するのはダメですか？
紙は、誰が見たかの記録が残らず、辞めたスタッフが写真に撮っていてもわかりません。人数が増えるほど管理が難しくなるため、パスワードマネージャーへの移行をおすすめします。
Q．電子証明書の暗証番号を、スタッフに教えてもいいですか？
おすすめしません。税理士認証カードは税理士本人にのみ発行されるもので、暗証番号も本人が管理するものです。すでに共有している場合の対処は、電子証明書の管理のルールをご覧ください。
まとめ
士業事務所のスタッフには、辞めた後も守秘義務があります。その義務を実際に守れる状態にするのが、アカウントと権限の管理です。まずは「全員に専用アカウント」「多要素認証」「入退社の手順」の3つから始めてください。
配布しているチェックシートで事務所のアカウントを書き出すと、どこから手を付けるべきかが見えてきます。完璧を目指すより、気づいたところから一つずつ整えていきましょう。
※本記事は2026年9月時点の法令・ガイドライン・各サービスの公式情報をもとにしています。法令上の判断が必要な場合は、所属する士業会や専門家にご確認ください。
更新履歴：2026年9月 全面改訂（法的根拠、電子証明書、入社時の手順、チェックシートを追加）