税理士事務所のセキュリティ対策｜規模別の優先順位と、顧問先に説明できる体制づくり

税理士事務所には、顧問先の決算書や通帳の写し、従業員のマイナンバーまで集まります。

事務所で事故が起きると、それは顧問先の事故として公表されます。2024年には、税理士法人のランサムウェア被害を受けて、業務を委託していた大手損保が情報漏えいのおそれを発表しました。

この記事では、所長1人の事務所から10人規模まで、規模に見合った対策と費用の目安をまとめました。UTMを勧められたときの判断基準と、事故が起きたときの手順も載せています。

税理士事務所が狙われる理由と、実際に起きた事故

顧問先の財務情報とマイナンバーが1か所に集まる

税理士事務所が預かるのは、顧問先1社分の情報ではありません。数十社分の決算書、通帳の写し、給与のデータが、1台のサーバーやクラウドにまとまっています。

年末調整を請け負えば、顧問先の従業員のマイナンバーや扶養家族の情報も加わります。攻撃する側から見ると、1か所を破るだけで多くの会社の情報が手に入る場所です。

事務所の事故が「顧問先の事故」になる

2024年、ある税理士法人がランサムウェアの被害を受けました。このとき、業務を委託していた東京海上日動火災保険が、情報漏えいのおそれがあると自ら発表しています。

参照：ScanNetSecurity「東京海上日動火災保険 提携先の税理士法人にランサムウェア攻撃」

顧問先から見れば、税理士事務所は大切な情報を預ける「委託先」です。IPAの「情報セキュリティ10大脅威 2026」でも、組織編の2位は「サプライチェーンや委託先を狙った攻撃」でした。

参照：IPA「情報セキュリティ10大脅威 2026」

よくある事故は3種類

税理士事務所で起きやすい事故は、大きく3つに分けられます。

• 誤送付：メールの宛先違い、預かった書類の返却先違い、FAXの番号違い
• 紛失・盗難：ノートパソコン、USBメモリ、顧問先から預かった原本
• ランサムウェア：データを暗号化されて業務が止まり、情報も盗まれる

個人情報保護委員会が出す注意喚起でも、書類の誤交付や紛失は主な事例として挙げられています。攻撃への備えと同じくらい、日々の手作業のミスへの備えが欠かせません。

参照：ScanNetSecurity「個人情報保護委員会 2022上半期注意喚起」

ランサムウェアの侵入口は、警察庁の集計では大半がVPN機器とリモートデスクトップです。被害の多くは中小企業が占めており、「小さな事務所は狙われない」とは言えません。

参照：警察庁「サイバー空間をめぐる脅威の情勢等」

税理士に求められる情報管理の根拠

守秘義務：所長も職員も、辞めた後まで続く

税理士法38条は、税理士が業務で知った秘密を漏らしたり盗用したりすることを禁じています。税理士でなくなった後も同じです。

職員には54条が同じ義務を課しており、職員でなくなった後も続きます。職員が辞めた後にデータを見られる状態は、この義務と矛盾します。

参照：国税庁「税理士制度 Q&A」／TKC（税理士法38条・54条の条文を掲載）

職員の監督義務と、懲戒の考え方

税理士法41条の2は、職員を使う税理士に、職員を監督する義務を課しています。

国が示す懲戒処分の考え方は、平成27年の改正で厳しくなりました。職員の不正を所長が知らなかった場合でも、内部の規律や管理体制に不備があれば、懲戒の対象になりうると明確にされています。

これを受けて日税連は、「税理士事務所等の内部規律及び内部管理体制に関する指針」を定め、令和5年3月に改訂しました。モデル様式には、情報管理に使える次のようなものがあります。

• 服務規則、テレワーク服務規程
• 職員を雇うときの誓約書
• 書類預かり一覧表（関与先に渡す用と、事務所で管理する用）
• 税理士事務所における情報管理チェックリスト

指針の本文と様式のファイルは会員専用です。日税連の会員ページにログインしてから開いてください。

参照：日本税理士会連合会「税理士事務所等の内部規律及び内部管理体制に関する指針」

個人情報保護法：漏えいしたら報告と本人への通知

税理士事務所も、個人情報保護法の「個人情報取扱事業者」です。次の4つのどれかに当たる漏えいが起きたら、委員会への報告と本人への通知が必要になります。漏えいの「おそれ」がある段階も含みます。

報告は2段階です。事態を知ってから概ね3〜5日以内に「速報」、30日以内に「確報」を出します。不正の目的によるものは、確報の期限が60日以内です。

参照：個人情報保護委員会「漏えい等の対応とお役立ち資料」

見落としやすいのが医療費控除の資料です。医師の診療や調剤を受けた事実は要配慮個人情報とされるため、1人分の誤送付でも報告の対象になりえます。

参照：個人情報保護委員会「要配慮個人情報とはどのようなものを指しますか」

ランサムウェアでデータが暗号化された場合は、流出が確認できなくても「毀損」に当たります。不正の目的によるものなので、件数にかかわらず報告の対象です。

反対に、高度な暗号化をしたパソコンを紛失した場合は、報告と通知が不要になります。暗号化は、事故が起きた後の負担まで減らしてくれる対策です。

参照：BUSINESS LAWYERS「個人情報保護委員会への漏えい等報告が必要な事態」

顧問先から預かった従業員の情報は、顧問先への通知も

年末調整のために預かる顧問先の従業員の情報は、顧問先から委託された個人データです。事務所で漏えいが起きたら、委託元である顧問先へ速やかに知らせてください。

委託元へきちんと通知すれば、委員会への報告は委託元の顧問先が行う形にできます。どちらが報告するかは、顧問先と相談して決めましょう。

マイナンバーは番号法でも報告が必要

マイナンバーの漏えいは、番号法の規則で別に報告の対象が決まっています。たとえば、漏えいしたマイナンバーの本人が100人を超える場合です。

顧問先数社の従業員分をまとめて預かる税理士事務所なら、100人は十分にありうる数字です。

参照：個人情報保護委員会「特定個人情報の漏えい等が発生した場合の報告」

【規模別】やるべき対策と費用の目安

何から手を付けるかは、IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版の段階に沿うと迷いません。2026年3月の改訂では、最初の段階の「情報セキュリティ6か条」にバックアップが加わりました。

参照：IPA「中小企業の情報セキュリティ対策ガイドライン」／第4.0版 説明資料（PDF）

所長1人の事務所：「6か条」を守り切る

所長1人なら、まず6か条を守ることから始めます。費用はほとんどかからず、今あるパソコンとサービスの設定で済むものが大半です。

1. OSやソフトを常に最新にする：Windows、ルーター、会計ソフトの更新を後回しにしない
2. ウイルス対策ソフトを入れる：Windows標準のMicrosoft Defenderも、有効なら対策の1つです
3. パスワードを強くする：使い回しをやめ、メールと会計ソフトにMFAを設定する
4. 共有設定を見直す：顧問先との共有フォルダと、ネットにつながる複合機を確認する
5. バックアップを取る：外付けドライブは、取り終えたらパソコンから外しておく
6. 手口を知る：税務署や顧問先を名乗る偽のメールに注意する

Windows 10のパソコンは、2025年10月にMicrosoftのサポートが終了しました。まだ使っているなら、6か条の1つ目を満たせないので、買い替えを計画してください。選び方は税理士のパソコン選びで紹介しています。

ウイルス対策ソフトを買い足すべきかは、セキュリティソフトの選び方で解説しています。

6か条に取り組んだら、IPAの「SECURITY ACTION」で一つ星を自己宣言できます。費用はかからず、顧問先に対策を説明するときの裏付けにもなります。

あわせて、税理士職業賠償責任保険に情報漏えいの特約を付けているかも確認してください。詳しくはよくある質問で説明しています。

職員が2〜5人：人のミスと退職に備える

職員がいると、事故の原因の多くが「人」になります。6か条に、次の4つを加えてください。

• 1人1アカウントにする：共有のIDとパスワードをやめ、退職した日に止める（アカウント・権限管理の記事）
• 雇用時に誓約書をもらう：日税連のモデル様式が使えます
• 誤送付を防ぐ仕組みを入れる：顧問先との資料のやり取りを参照
• 自社診断をする：IPAの「5分でできる！情報セキュリティ自社診断」の25問に答える

自社診断には、メールやFAXの宛先ミスを防ぐ取り組みも項目に入っています。25問に取り組めば、SECURITY ACTIONの二つ星を宣言できます。

職員が6〜10人：ルールを文書にし、ネットワークを見張る

この規模になると、所長がすべてを目で確かめるのは難しくなります。ルールを文書にして、仕組みで守る段階です。

• 基本方針と規程：IPAガイドライン付録のひな形と、日税連の服務規則を組み合わせる
• 事故が起きたときの体制：責任者と連絡網を決める（万一マニュアルを利用）
• 情報の台帳：どのデータが、どこに、誰の権限で置かれているかを一覧にする
• ネットワークの監視：UTMやお助け隊サービスを検討する（UTMは必要？）
• 年1回の職員研修：実際の事故例を使い、誤送付と偽メールの見分け方を確認する

規模別の早見表

◎必須　○推奨　△事務所の環境による。費用は2026年9月時点の目安です。

税理士事務所ならではの対策

会計・申告ソフト：クラウド型とサーバー型で守り方が違う

クラウド型の会計ソフトでは、データの保管はサービス会社が担います。事務所が守るべきなのはログインです。MFAを必ず設定し、顧問先ごとの閲覧権限と、辞めた職員のアカウントを管理してください。

事務所のサーバーにデータを置く型では、データそのものを事務所で守る必要があります。次の3点を確認しましょう。

• バックアップを何世代か残し、1つはネットワークから切り離しておく
• サーバーのOSが、メーカーのサポート期間内か
• ソフト会社のリモート保守が、どんな経路（VPNなど）でつながっているか

リモート保守のためのVPN機器が古いまま残っていると、そこが侵入口になりえます。保守の契約で、機器の更新を誰が担当するのかを必ず確かめてください。

顧問先との資料のやり取り

誤送付を防ぐ基本は、「送る前に一度止まる仕組み」を作ることです。

• メールは送信を数分保留する設定にし、宛先の自動補完を切る
• パスワード付きZIPをメールで送る方法はやめ、期限付きの共有リンクに切り替える
• 顧問先から受け取るときは、顧問先ごとのアップロード用フォルダを用意する
• FAXは登録済みの短縮ダイヤルを使い、送信前に番号を声に出して確かめる
• 原本の預かりと返却は、日税連の「書類預かり一覧表」で記録する

パスワード付きZIPは、同じメールの経路でパスワードも送るため、宛先を間違えれば両方が相手に届きます。誤送付の防止にはなりません。

マイナンバーの受け取り・保管・廃棄

• マイナンバーを扱う職員を決め、ほかの職員が見られない場所に保管する
• 顧問先からはメールの添付で受け取らず、アップロード用フォルダや郵送にする
• 保存の期間が過ぎたら削除・廃棄し、いつ誰が処分したかを記録する

電子証明書と利用者識別番号

所長の電子証明書の暗証番号を職員と共有していると、誰が申告したのかを後から証明できません。管理の方法は、アカウント・権限管理の記事の電子証明書の章で詳しく解説しました。

繁忙期は事故が増える

確定申告の時期は、臨時の職員が増え、持ち帰りや急ぎの送信も増えます。繁忙期に入る前に、次の3つを済ませておきましょう。

• 臨時の職員にも、個別のアカウントと誓約書を用意する
• 自宅で作業させるなら、日税連のテレワーク服務規程をもとにルールを決める
• 繁忙期が終わったらアカウントを止める日を、先に決めておく

生成AIの利用ルール

IPAの10大脅威 2026では、「AIの利用を巡るサイバーリスク」が3位に初めて選ばれました。決算書や申告書をAIに読ませるときの注意点は、生成AIセキュリティガイドと税理士のAI業務フローにまとめています。

顧問先から「セキュリティ対策を教えて」と言われたら

顧問先が確認してくる理由

大きな会社ほど、取引先や委託先にセキュリティ対策の回答を求めるようになっています。税理士事務所も、その委託先の1つです。質問票が届くのは、事務所を疑っているからではありません。顧問先自身が、委託先の管理を求められているからです。

SCS評価制度とは

経済産業省が準備している「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」は、企業の対策の水準を★3〜★5で示す制度です。★3と★4の申請受付は、2027年3月頃に始まる予定になっています。

ただし、これは任意の制度です。取得しないと取引が規制されるものではなく、特定の製品を買う必要もありません。

参照：経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度」

小さな事務所がまず目指すなら、無料で自己宣言できるSECURITY ACTIONの一つ星・二つ星で十分でしょう。IPAのガイドラインでも、この2つはSCS評価制度の手前の段階と位置づけられています。

答え方と、説明シートの使い方

聞かれてから慌てないよう、事務所の対策を1枚にまとめておきましょう。この記事で配布している説明シートは、当てはまる項目を残して書き換えるだけで作れます。

書くのは、実際にやっていることだけにしてください。できていない対策を書くと、事故が起きたときに説明と実態の食い違いを問われます。

UTMは必要？ 業者の提案を判断する基準

UTMは、インターネットと事務所のネットワークの境目に置き、ウイルスや不正な通信をまとめて止める機器です。

UTMが役に立つ事務所、なくても守れる事務所

右の列に当てはまるなら、先に6か条と自社診断の対策を固めるほうが効果的です。

UTM自体も、更新が必要な機器であることを忘れないでください。VPNの機能をもつUTMが古いまま放置されれば、それ自体が侵入口になります。

リース5年の総額で比べる

UTMは5年のリースで提案されることが多い機器です。月額だけでなく、5年間の総額と、途中で解約できるかを必ず確認してください。

もう1つの選択肢：お助け隊サービス

「サイバーセキュリティお助け隊サービス」は、経済産業省とIPAの基準を満たした中小企業向けのサービスです。ネットワークの監視、相談窓口、駆けつけ、簡易な保険がひとまとめになっています。

IPAが公開している料金の一覧には、50台まで月額9,800円、2年契約のネットワーク監視型も載っています。業者の見積もりと比べるときの物差しになるでしょう。

実際、厚生労働省の資料で紹介された診療所では、UTMに1台100万〜150万円、運用に月数千〜1万円かかると知り、UTM導入をあきらめかけていたところで、お助け隊サービスの存在を知り、すぐに導入を決めています。

参照：経済産業省「サイバーセキュリティお助け隊サービスについて」（厚生労働省掲載、PDF）/IPA「お助け隊サービス ネットワーク監視型 一覧」（PDF）

「デジタル化・AI導入補助金2026」のセキュリティ対策推進枠を使うと、お助け隊サービスの費用の一部が補助されます。公募の回や締切は変わるので、申請前に公式の情報で確認してください。

参照：J-Net21「デジタル化・AI導入補助金2026 セキュリティ対策推進枠」

「SCS評価制度のために必要」と言われたら

経済産業省は2026年4月、この制度を引き合いにした不適切な勧誘に注意を呼びかけました。具体的には「評価がないと取引が規制される」「今すぐ取らないと入札から外される」などといった営業行為です。

同省は、制度の基準を満たすのに特定の製品の導入は必須ではないとしています。こう言われたら、その場で契約せず、IPAの公式の情報を確かめてください。

参照：経済産業省「SCS評価制度に係る不適切な勧誘に関する注意喚起」

見積もりを受けたときに業者へ聞く5つの質問

1. 5年間の総額と、途中で解約したときの費用はいくらか
2. 機器のソフトウェアは、誰がいつ更新するのか
3. 警告が出たとき、誰が確認して、事務所にどう知らせてくれるのか
4. 故障したとき、代わりの機器はどれくらいで届くのか
5. お助け隊サービスとして登録されたサービスか

答えがあいまいな業者は、機器を売った後の運用まで考えていない可能性があります。

情報漏えいが起きたときの対応

事故が起きたら、まず被害を広げないこと、次に事実を記録することです。手順は万一マニュアルにもまとめています。

最初の1時間：被害を広げない

• メールを誤送信した：相手に電話し、開かずに削除してもらう。削除したことをメールで返信してもらう
• パソコンやスマホを紛失した：遠隔でロックや消去をかけ、警察に遺失届を出す
• ランサムウェアに感染した：LANケーブルを抜き、Wi-Fiを切る。電源は切らない

ランサムウェアのときに電源を切らないのは、調査の手がかりが消えてしまうからです。どの場合も、いつ・誰が・何に気づいたかをすぐにメモし、所長に報告してください。

当日中：何が、誰の分、何件かを調べる

漏れた情報の中身と人数がわかれば、報告が必要かを判断できます。4つの報告対象と、マイナンバーの基準に当てはまるかを確認しましょう。判断に迷ったら、個人情報保護委員会に相談できます。

報告と通知の期限

顧問先への連絡の文例

このたび、当事務所において、貴社からお預かりしている資料の一部が外部に漏えいしたおそれがあることが判明しました。多大なご心配をおかけし、深くお詫び申し上げます。

判明した日時は〇月〇日〇時で、対象は〇〇に関する資料（〇名分）です。現在、原因と影響の範囲を調べており、判明した内容は〇月〇日までに改めてご報告します。個人情報保護委員会への報告と、ご本人への通知の進め方についても、ご相談させてください。

相談先

• 個人情報保護委員会：報告の要否の相談と、漏えい等の報告
• IPA 情報セキュリティ安心相談窓口：ウイルス感染や不正アクセスの技術的な相談
• 都道府県警察のサイバー犯罪相談窓口：ランサムウェア、不正アクセス、盗難
• 所属する税理士会：守秘義務や顧問先への対応の相談
• 日税連保険サービス：税理士職業賠償責任保険と特約の事故報告
• 会計ソフトの会社：データの復旧とアカウントの停止

税務の年間スケジュールに合わせた点検カレンダー

セキュリティの点検は、税務の繁忙期を避けて予定に組み込むと続きます。

【無料配布】事故対応マニュアルと顧問先向け説明シート

よくある質問

所長1人の事務所にも、漏えいの報告義務はありますか？

あります。個人情報を事業で扱っていれば、事務所の規模にかかわらず個人情報取扱事業者です。報告の対象に当たる漏えいが起きれば、1人の事務所でも報告と通知が必要になります。

顧問先の資料をメールで受け取ってもいいですか？

禁止されてはいませんが、マイナンバーや医療費控除の資料は、メールの添付を避けるのが安全です。顧問先ごとのアップロード用フォルダを用意すれば、受け取る側の誤送付も防げます。

職員に自宅で作業させてもいいですか？

ルールを決めたうえでなら可能です。事務所が管理するパソコンを使うこと、私物のパソコンにデータを保存しないことを最低限の条件にしてください。日税連のテレワーク服務規程のモデルが参考になります。

無料のウイルス対策ソフトで足りますか？

Windows標準のMicrosoft Defenderが有効で、更新も止まっていなければ、基本的な対策にはなります。有料のソフトを足すべき場面は、セキュリティソフトの選び方で解説しています。

税理士職業賠償責任保険で、情報漏えいは補償されますか？

主な契約とは別に、有料の「情報漏えい・サイバーリスク担保特約」を付ける必要があります。この特約は、情報漏えいによる賠償と費用、サイバー攻撃を受けたときの対応費用を補償するものです。

特約はA〜D型の4種類で、A型は賠償500万円・事故対応費用250万円、D型は賠償5,000万円・事故対応費用2,500万円が限度です。保険料は、日税連保険サービスのシミュレーターで試算できます。

参照：日税連保険サービス「税理士職業賠償責任保険」／保険料計算シミュレーター

ランサムウェアの身代金は払うべきですか？

払っても、データが戻る保証も、盗まれた情報が公開されない保証もありません。まずは警察と専門の窓口に相談してください。日ごろから、ネットワークから切り離したバックアップを持っておくことが一番の備えです。

まとめ

税理士事務所のセキュリティ対策は、顧問先の信頼を守るための仕事の一部です。大きな機器を入れる前に、MFA、更新、バックアップの3つを固めてください。

職員がいるなら、1人1アカウントと誓約書、誤送付を防ぐ仕組みを加えます。6人を超えたら、ルールの文書化とネットワークの監視を検討しましょう。

そして、事故が起きたときの手順を、起きる前に決めておくことです。万一マニュアルに連絡先を書き込むところから始めてみてください。

次に読む記事

• 士業事務所のアカウント・権限管理｜放置するリスクと入退社時のチェックリスト
• 士業の業務用パソコンのセキュリティソフトの選び方
• 税理士のパソコン選び：暗号化とサポート期間を満たす機種の選び方
• 士業のための電子契約サービス比較：契約書を郵送せずに、安全に締結したい方へ

更新履歴：2026年10月　税理士事務所向けに全面改訂。報告期限、税理士法、SCS評価制度、お助け隊サービスの情報を追加しました。