法廷の待合で記録を開く。移動中の新幹線で準備書面に手を入れる。出張先のホテルで事件記録を確認する。
どれも日常的な光景です。ただ、そのとき使っている通信と端末について、先生の事務所の「基本的な取扱方法」には何と書いてあるでしょうか。
2024年6月1日に施行された弁護士情報セキュリティ規程は、取扱情報の「運搬」と「送信」を含む各段階で情報セキュリティが確保されるよう取り扱うことを求めています（第5条）。ノートPCを持ち出すことは運搬であり、外で通信することは送信です。つまり外出先での作業は、規程が名指ししている場面そのものにあたります。
先に結論を書きます。
まず検討すべきはVPNではなく、テザリングです。公共Wi-Fiを使わずに済むなら、それが最も確実で、多くの場合は追加費用もかかりません。公共Wi-Fiを使わざるを得ない場面があるなら、そこで初めてVPNを足す。そしてVPNを導入しても、規程が求める安全管理措置が満たされるわけではありません。
この記事でわかること
- 弁護士情報セキュリティ規程が実際に求めていること（条文ベースで整理）
- 外出先での作業が、規程のどの条文に位置づけられるのか
- 公共Wi-Fiのリスクのうち、誇張されているものと実際に起きやすいもの
- VPNでできること・できないこと（第2条の3特性で整理）
- VPNより先に、無料でやっておくべきこと
- 「基本的な取扱方法」に外出先のことを書くときの項目立て
弁護士情報セキュリティ規程が求めていること
弁護士情報セキュリティ規程は、令和4年6月10日に会規第117号として制定されました。附則には次のように記載されています。
この規程は、成立の日から起算して二年を超えない範囲内において理事会で定める日から施行する。
（令和六年一月一九日理事会決議で令和六年六月一日から施行）
つまり令和6年1月19日の理事会決議により、2024年6月1日から施行されています。
中心にあるのは第3条2項
規程全体の中心は、第3条2項です。
弁護士等は、前項の規定により把握した危険を踏まえ、所属する法律事務所等の規模及び業務の種類、態様等に応じて、取扱情報の情報セキュリティを確保するための基本的な取扱方法を定めなければならない。
「定めなければならない」と書かれています。そして前提となる第3条1項では、取扱情報の種類や性質等に応じた情報セキュリティに対する危険を「把握するよう努めなければならない」とされています。
ここで注意しておきたいのは、規程は個別具体的な対策を指定していないことです。どの製品を入れよ、どの設定にせよ、といった記述は条文のどこにもありません。日弁連は、弁護士の職務の独立性と執務環境の個別性への配慮、そして変化する技術環境への柔軟な対応を可能にするため、あえて具体策を盛り込まないという立て付けを取っています。
したがって「規程に対応するにはこの製品が必要」という話にはなりません。何をするかは、事務所の規模と業務の態様に応じて自分で決め、それを基本的な取扱方法として書く。それが規程の構造です。
「取扱情報」は紙も含む
第2条2項は、取扱情報を次のように定義しています。
この規程において「取扱情報」とは、弁護士等がその職務上取り扱う情報（紙、電磁的記録等その保管媒体を問わない。）をいう。ただし、前項各号に掲げる特性をいずれも維持する必要がないことが明らかな情報を除く。
保管媒体を問わないと明記されています。この記事は通信と端末の話が中心になりますが、紙の記録を鞄に入れて持ち歩くことも、同じ規程の射程に入っているという点は最初に押さえておいてください。
※このほか、第4条3項は情報セキュリティに関する研鑽及び教育に「努めなければならない」、第6条は点検及び改善に「努めなければならない」と定めています。条文の原文は日本弁護士連合会のサイトで公開されています（記事末尾にリンクを掲載しています）。
外出先での作業は、規程のどこに位置づけられるのか
第5条は、情報のライフサイクル管理について次のように定めています。
弁護士等は、取扱情報の作成、取得、保管、利用、提供、運搬、送信及び廃棄の各段階で、情報セキュリティが確保されるよう取扱情報を取り扱わなければならない。
8つの段階が並んでいます。この中に「運搬」と「送信」があることに注目してください。
外出先での作業を分解すると、このうち4つに同時に触れます。
| 外出先での行為 | 第5条の該当段階 |
|---|---|
| 事件記録を入れたノートPCや書類を持ち出す | 運搬 |
| 公共Wi-Fiで書面やメールを送受信する | 送信 |
| 法廷の待合や車内で記録を開く | 利用 |
| 出張先のホテルにPCや書類を置く | 保管 |
これは解釈ではなく、条文に書かれている言葉をそのまま当てはめただけです。
さらに第3条3項は、基本的な取扱方法を定めるに当たって配慮する事項として、第5条の情報のライフサイクル管理の方法を挙げています（同項二号）。
つまり、外出先での作業をどう扱うかは、基本的な取扱方法の中で扱うべき事項として、条文の構造上きちんと位置づけられているということです。
ここが空白になっている事務所は少なくない
公開されている法律事務所のセキュリティポリシーをいくつか読むと、情報の廃棄方法や外部委託時の取り決めは丁寧に書かれている一方で、端末や書類の持ち出しと、外部ネットワークでの通信についての記述が薄いものが目につきます。
施行に合わせて他事務所の文書を参考に作成した、という事務所であればなおさらです。参考にした文書の書き手と自分とでは、外出の頻度も、持ち出す情報の種類も、使っている回線も違います。
そして第6条は、法改正や技術的進歩その他社会環境の変化、および自らの職務遂行体制の変化に応じて、安全管理措置とライフサイクル管理の方法が適切に機能しているかを点検し、必要に応じて改善を加えるよう努めなければならないと定めています。一度作った文書を作りっぱなしにしない前提になっている、ということです。
公共Wi-Fiで、実際には何が起きるのか
ここは正確に書きます。この種の記事では危険性が誇張されがちですが、実態と合わない説明は判断を誤らせるだけです。
よく挙げられる技術的リスク
- 中間者攻撃：
- 通信経路の途中に第三者が割り込み、内容を盗み見たり改ざんしたりする
- 偽アクセスポイント：
- 正規のものに似た名前のWi-Fiを設置し、接続してきた端末の通信を取得する
- 通信の傍受：
- 暗号化されていない無線通信を近くで受信する
いずれも実在する手法です。ただし、現在は主要なWebサービスとメールのほとんどがHTTPSやTLSで暗号化されているため、接続しただけで通信内容がそのまま平文で読まれる、という場面は以前より限定的になっています。「公共Wi-Fiに繋いだ瞬間にすべて筒抜け」という説明は、現在の実態からするとやや誇張です。
実務上、むしろ起きやすいこと
一方で、法廷の待合室や新幹線、カフェという環境を具体的に思い浮かべると、より現実的なリスクが見えてきます。
・覗き見
待合や車内は隣席との距離が近く、準備書面や記録は文字が大きいため、意図せず読めてしまいます
・置き忘れ・盗難
端末そのものが第三者の手に渡ります
・画面ロックをかけずに離席する
・通話の内容を周囲に聞かれる
事件名や当事者名は、聞こえてしまえばそれだけで情報です
・紙の記録の紛失
前述のとおり、規程は保管媒体を問いません
ここで押さえておきたいのは、VPNが守ってくれる領域と、実際に事故が起きやすい領域は、かなりズレているということです。VPNは通信経路の話であり、覗き見にも置き忘れにも紙の記録にも効きません。
選択肢は3つある。VPNは2番目
外出先での通信をどうするか。選択肢を並べると次のようになります。
| 優先度 | 選択肢 | 費用の目安 | 解決すること |
|---|---|---|---|
| 1 | テザリング／モバイルルーター | 0円〜数千円/月 | そもそも公共Wi-Fiを使わずに済む |
| 2 | VPN | 月360円〜／短期638円〜 | 公共Wi-Fiを使う場合の通信経路の暗号化 |
| 3 | 運用で回避する | 0円 | 外では取扱情報を開かないと決める |
まずテザリングを検討すべき理由
スマートフォンの回線はすでに契約しているはずです。テザリングを使えば、追加費用をほとんどかけずに「公共Wi-Fiを使わない」という選択が取れます。
リスクへの対処として最も確実なのは、リスクのある経路を通らないことです。VPNは公共Wi-Fiを使うことを前提にした上での対策なので、順序としては後になります。
テザリングでは足りない場面
- 長時間の作業でデータ通信量の上限が気になる
- 地下や山間部など、携帯回線の電波が届きにくい場所
- ホテルの有線LANやWi-Fiしか選択肢がない出張先
- 海外出張でローミングが現実的でない
こうした場面が年に何度かある方は、VPNを検討する価値があります。逆に、外出先での作業がほぼ事務所と自宅に限られるなら、この記事の後半で扱う無料でできる端末側の対策を先に済ませるほうが効果的です。
VPNでできること・できないこと
VPNの効果を正確に把握するために、規程第2条の定義を使って整理します。第2条は情報セキュリティを、次の3つの特性が維持された状態と定義しています。
一 機密性 情報に関して、アクセスを認められた者だけがアクセスできる特性をいう。
二 完全性 情報が破壊、改ざん又は消去されていない特性をいう。
三 可用性 情報へのアクセスを認められた者が、必要時に中断されることなく、情報にアクセスできる特性をいう。
この3つに対して、VPNが何をするかを当てはめると次のようになります。
| 特性 | VPNの寄与 |
|---|---|
| 機密性 | 部分的に寄与する。通信経路上での傍受を防ぐ |
| 完全性 | 寄与しない。データの破壊や改ざんはVPNの守備範囲外 |
| 可用性 | むしろ下げうる。接続不調や速度低下が起きることがある |
VPNは3特性のうち機密性の一部に効く道具である、というのが正確な理解です。
VPNが解決しないこと
- 端末のマルウェア感染
- 端末の紛失・盗難
- 画面の覗き見
- フィッシングサイトへの誘導（※対策機能を持つサービスもあります）
- クラウドサービス側での情報漏えい
- パスワードの使い回しによるアカウント侵害
- 紙の記録の管理
第4条1項は、取扱情報の種類や性質等に応じた管理体制を整備し、組織的、人的、物理的及び技術的な安全管理措置を講ずるものとする、と定めています。この4分類でいえば、VPNは「技術的」の中の一要素にすぎません。
キルスイッチという機能
VPNを選ぶときに見ておきたいのがキルスイッチです。これはVPN接続が何らかの理由で切断されたときに、通信そのものを遮断する機能です。
これがないと、接続が切れた瞬間に通常の回線に戻り、本人が気づかないまま公共Wi-Fi経由で通信が続くことになります。ただし後述のとおり、サービスによっては対応プラットフォームが限られます。お使いの端末で機能するかは、契約前に確認してください。
ここまでの整理を踏まえたうえで、公共Wi-Fiを使わざるを得ない場面のために通信経路の暗号化だけは手当てしておきたい、という場合は、次の章で選び方をまとめています。
弁護士がVPNを選ぶときに見る項目
一般的なVPNの比較記事は、通信速度や動画配信サービスへの対応で評価されていることが多いのですが、業務で使う場合に見るべき項目は別のところにあります。
確認したい7項目
- 運営会社の所在国と準拠法 トラブルが起きたときにどこの法律が適用されるか
- 電気通信事業の届出の有無 日本国内で事業を行う場合の客観的な指標のひとつ
- ログの取り扱いと第三者監査の有無 ノーログを掲げているか、それが外部に検証されているか
- 同時接続台数 事務所PC、持ち出し用PC、スマホ、タブレットの台数で足りるか
- キルスイッチの対応プラットフォーム
- サポートの言語 設定でつまずいたときに日本語で解決できるか
- 支払い方法 事務所の経費処理に合うか
主要2サービスの比較
| MillenVPN | NordVPN | |
|---|---|---|
| 運営 | アズポケット株式会社（日本） レンタルサーバー「mixhost」の運営元 | パナマ拠点 |
| 総務省への届出 | 実施していると公式に記載 | 記載なし |
| ログの扱い | 接続ログ・通信ログを保持しないと公式に記載 | ノーログポリシーについてDeloitteによる独立監査 |
| 同時接続台数 | 無制限 | 最大10台 |
| 暗号化 | AES-256 | AES-256 |
| キルスイッチ | あり（一部プラットフォームのみ） | あり |
| 短期プラン | 7日／15日／30日あり | なし |
| 返金保証 | 30日（サブスクプランのみ） | 30日 |
| 支払い方法 | クレジットカード 日本円ならPayPal・銀行振込も可 | クレジットカード、PayPal、Google Pay、Apple Pay ほか |
| サポート言語 | 日本語 | 自動翻訳を介した日本語チャット |
※2026年9月15日時点の公式サイト記載に基づきます。
料金について、正直なところ
MillenVPNのサブスクプランは、2年プランが月360円（税込396円）、1年プランが月540円（税込594円）です。
ただしこれは初回契約分の割引価格で、契約期間が満了すると月950円＋税で自動更新されます。2年プランの360円と比べると約2.6倍です。公式サイトにも明記されていますが、月額だけを見て判断すると後で驚くことになるので、ここは先に書いておきます。
ワンタイムプランは次のとおりです（税込）。
| プラン | 料金 |
|---|---|
| 7日間 | 638円 |
| 15日間 | 1,078円 |
| 30日間 | 1,738円 |
※ワンタイムプランは30日間返金保証の対象外です。
出張の頻度で選び方が変わります
ここは分けて考えたほうがいいところです。
月に数回以上、外出先で作業する
サブスクプランが向いています。デバイス数無制限なので、持ち出し用PC・スマホ・タブレットをまとめてカバーできます。更新後の料金も含めて判断してください。
出張は年に数回程度
年間契約は必要ありません。7日間638円のワンタイムプランで足ります。出張のたびに契約する運用のほうが、年間で見れば安く済みます。
海外出張がある
サーバー数と対応国の多さではNordVPNに分があります。中国など通信規制のある国では、事前に接続可否を確認しておいてください。
MillenVPNは日本企業が運営し、総務省への届出を実施していると公式に明記しています。サポートも日本語です。
サブスクプランには30日間の返金保証があります。年に数回の出張のためだけであれば、7日間638円のワンタイムプランで十分です。
NordVPNはノーログポリシーについてDeloitteによる独立監査を受けており、サーバー数と対応国の多さでは世界最大級です。海外出張が多い場合はこちらが選択肢になります。
料金はキャンペーンによって変動します。最新の条件は公式サイトでご確認ください。
無料VPNを使ってはいけない理由
無料で提供されているVPNは、通信を預かるコストをどこかで回収しています。その方法が明示されていないサービスも少なくありません。
取扱情報を通す経路として、事業者がログをどう扱うか確認できないサービスを選ぶことは、第4条の技術的安全管理措置として説明がつかないと考えるべきです。VPNを入れるなら有料のものを選び、入れないならテザリングを使う。この二択で考えてください。
VPNより先にやっておきたいこと
ここまで通信の話をしてきましたが、実は費用をかけずにできて、かつVPNより効果が大きい対策がいくつかあります。
第4条1項の4分類に沿って整理します。
| 対策 | 第4条の分類 | 費用 |
|---|---|---|
| ディスクの暗号化（BitLocker／FileVault） | 技術的 | 無料 |
| 画面ロックの自動設定 | 技術的 | 無料 |
| 主要サービスの二要素認証 | 技術的 | 無料 |
| リモートワイプの設定 | 技術的 | 無料 |
| 覗き見防止フィルター | 物理的 | 数千円 |
| 持ち出しルールと紛失時の手順を決める | 組織的 | 無料 |
| 事務職員への説明 | 人的 | 無料 |
ディスクの暗号化が最も効く
端末を紛失したとき、ディスクが暗号化されていれば、第三者が中身を読み出すことは容易ではありません。WindowsならBitLocker、MacならFileVaultで、いずれもOSの標準機能です。設定は数分で終わります。
公共Wi-Fiを心配する前に、まずここを確認してください。持ち出す端末で暗号化が有効になっていないのであれば、VPNの契約よりこちらが先です。
画面ロックと二要素認証
離席時に自動でロックがかかるよう、スリープまでの時間を短く設定します。あわせて、業務で使うクラウドサービスには二要素認証を設定しておきます。端末が第三者の手に渡っても、アカウントまでは取られないようにするためです。
覗き見防止フィルター
待合室や車内での覗き見に対しては、これが最も実効性のある対策です。正面からしか画面が見えなくなるフィルムやパネルで、画面サイズに合わせて選びます。数千円で、装着したその日から効きます。
おすすめ
紛失したときの手順を決めておく
第7条は次のように定めています。
弁護士等は、取扱情報の漏えい、滅失、毀損等の事故が発生した場合には、その影響範囲の把握に努め、必要に応じ、被害の拡大防止、原因調査、再発防止策の検討その他の措置を講じなければならない。
事故が起きてから手順を考えるのでは間に合いません。誰に連絡するか、どの端末にどの情報が入っていたかをどう把握するか、リモートワイプを誰が実行するか。あらかじめ決めて書いておくべきことです。
事務職員がいる事務所の場合
第4条2項は、事務職員、司法修習生その他の自らの職務に関与させる者に対して、情報セキュリティを確保するための必要な対策を講じさせなければならないと定めています。
事務職員が資料を持ち出す場面や、自分のスマートフォンで業務連絡を受けている場合の扱いも、あわせて整理しておく必要があります。
「基本的な取扱方法」に外出先のことを書くなら
すでに基本的な取扱方法を策定済みの事務所でも、外出先の記述が手薄なことは珍しくありません。見直す際の項目立てとして、第3条3項が挙げる4つの配慮事項に沿って整理すると、条文の構造と一致した形になります。
| 第3条3項の号 | 外出先について決めておくこと |
|---|---|
| 一号 （第4条の安全管理措置の具体的内容） | 持ち出してよい端末／持ち出してよい取扱情報の範囲（紙を含む）／覗き見への対応／事務職員が持ち出す場合の扱い |
| 二号 （第5条のライフサイクル管理の方法） | 外部ネットワークの利用の可否と条件（送信）／移動中の端末と書類の扱い（運搬）／出張先での保管方法 |
| 三号 （第6条の点検及び改善の方法） | 見直しの頻度と、誰が見直すか |
| 四号 （第7条の漏えい等事故対応の方法） | 紛失・盗難時の連絡手順と責任者／影響範囲の把握の方法 |
なお、日本弁護士連合会は「基本的な取扱方法」のモデル案をはじめとする資料を公表しています。実際に策定・見直しをされる際は、まずそちらをご確認ください。
※繰り返しになりますが、筆者は弁護士ではありません。上記は条文の構造を整理したものであり、各事務所で何をどこまで定めるべきかの判断を示すものではありません。
よくある質問
Q1:この規程は司法書士や行政書士にも適用されますか
適用されません。弁護士情報セキュリティ規程は日本弁護士連合会の会規であり、対象は第1条に定める弁護士、弁護士法人、外国法事務弁護士、外国法事務弁護士法人、および弁護士・外国法事務弁護士共同法人です。
Q2：紙の記録を持ち歩く場合も対象になりますか
対象になります。第2条2項は取扱情報について「紙、電磁的記録等その保管媒体を問わない」と定めています。
Q3:VPNを導入すれば規程への対応は完了しますか
完了しません。第4条1項は組織的、人的、物理的及び技術的な安全管理措置を挙げており、VPNはそのうち技術的措置の一要素にあたります。また第2条の3特性のうち、VPNが寄与するのは機密性の一部です。
Q4:無料のVPNではだめでしょうか
事業者がログをどう扱うかを確認できないサービスに取扱情報を通すことは、技術的安全管理措置として説明が難しいと考えられます。有料のサービスを使うか、テザリングで公共Wi-Fiを避けるかのいずれかをおすすめします。
Q5：出張が年に数回なら、VPNの年間契約は必要ですか
必要ありません。MillenVPNには7日間638円（税込）のワンタイムプランがあります。必要な期間だけ契約する運用のほうが、年間では安く済みます。
Q6:事務職員のスマートフォンはどう扱えばよいですか
第4条2項は、事務職員等に対して情報セキュリティを確保するための必要な対策を講じさせなければならないと定めています。業務連絡に私物端末を使っている場合は、その扱いも基本的な取扱方法の中で整理しておくことになります。
まとめ
外出先での作業は、弁護士情報セキュリティ規程第5条が挙げる「運搬」「送信」「利用」「保管」に同時に触れる場面です。基本的な取扱方法を見直すときに、ここが空白のままになっていないか確認しておく価値はあります。
具体的に取る手段については、順序があります。
- まず無料でできることを済ませる ディスクの暗号化、画面ロック、二要素認証、リモートワイプ。効果が大きく、費用がかかりません
- 次にテザリングを検討する 公共Wi-Fiを使わずに済むなら、それが最も確実です
- それでも公共Wi-Fiを使う場面があるなら、VPNを足す 出張頻度に応じて、年間契約か短期プランかを選びます
- 覗き見防止フィルターを用意する 待合室と車内では、通信対策より効きます
VPNは万能ではありませんが、公共Wi-Fiを使わざるを得ない場面に対しては有効な手段です。必要な場面がある方は、次の記事で端末側の選び方もあわせてご覧ください。