特集

弁護士の情報セキュリティ
平岡 敦（55 期）

第二東京弁護士会会員

弁護士の情報セキュリティ

弁護士は，日常業務において営業の秘密やプライバシー等のセンシティブな情報を取り扱うので，守秘義務に照らしても，情報セキュリティの徹底が極めて重要な課題であることは異論がないであろう。情報セキュリティの徹底は，各弁護士に対する信頼にも直結するところである。
この点，日弁連は 2013 年に「弁護士情報セキュリティガイドライン」を制定しているが，抽象的な規定から具体的に何をどのように気をつけるべきかを読み取るのは，なかなか難しいと思われる。そこで，本特集では，日弁連内の弁護士の情報
セキュリティに関するワーキンググループで同ガイドラインの策定にも関わった平岡敦
弁護士に，私たちが日常業務においてどのような点に注意すればよいのかを，具体的にわかりやすく解説していただいた。

1

はじめに

表 1 情報セキュリティ事故一覧表
漏えい・紛失・毀損の方法対象となる情報

1

刑事事件の情報共有のために使用していた掲示板を，本来は非公開設定にすべきなのに公開設定にして利用し，誰でも見られる状態にしていた。

裁判員裁判の事件記録。裁判員候補者リストや被害者の情報を含む。

2

他事件の記録用紙を裏紙として使用
して，別事件の記録を印刷し，事件記録としてファイリングしたが，裏紙であることを忘れて，依頼者に交付した。

他事件の事件記録の内容。

3

他事件の記録用紙を裏紙として使用
して，FAX 文書を作成したが，送信時に裏表を間違えて送信した。

他事件の事件記録の内容。

セキュリティ事故が発生している。

4

事件の紹介者に対して，辞任後に訴訟経過など事件の顛末を報告した。
その際に準備書面の一部なども交付した。

事件の内容。

2

5

事務所のサーバのハードディスクが故障し，事務所全体のデータが失われた。復旧に数百万円を要した。

事務所全体のデー
タ。

6

東日本大震災で事務所が水没し，パソコン内のデータが失われた。

水没したパソコンのデータ。

7

弁護士をメンバーとするメーリングリスト
上にマルウェアに感染したメールが流れ，受信者の一部が感染し，パソコン
内のデータが改ざんされた。

メール受信者のパ
ソコン内のデータ。

弁護士がその業務で扱う情報は，センシティブで重要なものばかりである。DV 被害者の住所を漏えいすれば，たちまち生命や身体の危険を招来する。依頼者に送るつもりの電子メールを，誤って相手方代理人に送ってしまったら，それで訴訟の帰趨が決するかもしれない。
多くの弁護士は，そのような危険があることを十分に認識して，リスクを避けるために慎重に行動している。しかし，残念ながら，弁護士の過失による情報

弁護士の情報セキュリティ事故⑴ どのような事故が発生しているか
近年発生した弁護士が関連する情報セキュリティ事故の一部を表 1にまとめてみた。1 ないし 4 番は情報の漏えい，5 及び 6 番は情報の喪失，7 番は情報の毀損を招いた事故である。また，2 ないし 4 番は懲戒処分を受けている事案である。

4（伊藤 敬史）

LIBRA Vol.16 No.1 2016/1

特集
弁護士の情報セキュリティ⑵ 掲示板誤公開事件の提起した問題

うのは弁護士業務の高度化や効率化を無視した暴論

これらの事故の中でも，広く報道されて社会に大である。自動車は危険だからいっさい乗らない，医薬きなインパクトを与えたのが，2011（平成 23）年に品は副作用があるからいっさい飲まない，というような発生した表 1〔4 頁〕の 1 番の掲示板誤公開事件であものである。しかし，自動車も医薬品も利用しないでった＊1。この事件は，以下に挙げるようないくつかのは現代の社会生活は成立しない。ただ，もちろん安全

重大な問題をはらんでいた。

装置の付いていない自動車や副作用の強すぎる医薬品の使用を避けるべきである。I T ツールも同様である。

① I T を使うべきか，使わざるべきか

セキュリティ対策のまったく施されていないような，又この事件を発生させた法律事務所では，複数の弁は明らかにリスクのあるものを用いることは避けるべき護人が関与する事件の一部について，弁護士と事務なのである。

職員をメンバーとする掲示板を事件毎に作成し，事件記録を共有していた。その理由は，担当弁護士が接見などで事務所を不在にしがちだったので外出先からも記録にアクセスする必要性が高かったこと，担当事
務職員の関与も必要であったことなどである。この掲
示板サービスは，民間業者が無償で運営するもので，データを格納して共有する機能や，メーリングリスト

本件の掲示板誤公開事件でも，文書共有のためにの機能を有していた。これらの機能を利用して，事件

I T ツールを利用すること自体は否定すべきことではな

記録を共有していたのである。この掲示板サービスは，

い。しかし，本件で問題となったような掲示板サービス

既定の設定が「公開」であったので，開設後に「非を使うことは避けるべきであった。

公開」に変える必要があった。しかし，一部の掲示板について，過失により「非公開」設定に変えていないものが残っていた。
誤って開示されていた掲示板の中には，対象事件が裁判員裁判であり，格納した情報の中には犯罪被害者の情報や裁判員候補者名簿などが含まれているものもあった。

② 扱っていい情報といけない情報
本件では，裁判員裁判事件に関する掲示板が設置され，そこでは裁判員候補者名簿や犯罪被害者に関する情報が共有され，結果として漏えいした。
関係者間で必要な情報を共有して高度に活用する
ことは，弁護士業務の質を高め，迅速な処理を行う

確かに I T ツールは便利であり，I T ツールをまった上で必要なことであり，情報共有のために I T ツール

く使わない弁護士業務を想像することは難しい。I Tが利 用されることが否 定されてはならない。 しかし，ツールに一定の危険性があるから一切使わない，とい

裁判員候補者名簿＊2 や犯罪被害者の個人情報など，＊1：中央官庁でも2013（平成 25）年にGoogleグループという掲示板サービスを使った漏えい事故が起きて，同様の問題を惹起したことは，記憶に新しい。
＊2：裁判員の氏名等の漏示については，裁判員の参加する刑事裁判に関する法律109 条に罰則が設けられている（一年以下の懲役又は五十万円
以下の罰金）。

LIBRA Vol.16 No.1 2016/1

5

特集
弁護士の情報セキュリティ

弁護士が取り扱う情報の中でも特に慎重な取扱いが求

セキュリティに関する対策を講じて会員に対する適切

められる性質の情報については，いったん漏えいするな指 導を行う必 要がある。そこで，この事 件のあと，と拡散する危険のあるデジタル情報にすること自体を日弁連内に弁護士の情報セキュリティに関するワーキ避けるべきであった。

ンググループが設置され，2013（平成 25）年には「弁護士のための情報セキュリティガイドライン」が作成③ サービス規約の問題
本件で問題となった掲示板サービスには，サービス

このように掲示板誤公開事件は，実に様々な弁護規約上も問題があった。サービス規約では，ユーザが士の情報セキュリティに関する問題提起を生み出したアップした情報について，サービスを提供している企事件であった。

業に，自由に複製・公開などができる権利が留保されていた。企業がアップされている内容をのぞき見する⑶ 情報の喪失・毀損型の事故も重要ことはもちろん，「法律事務所での活用例」などとし

表 1〔4 頁 〕の 5（ サーバのハードディスク故 障にて広く紹 介することも不 可 能ではなかったのである。

よるデータ喪失）， 6（災害によるデータ喪失）， 7

これは，被疑者や被告人との関係では，掲示板にアップ（マルウェア感染によるデータ毀損）も，情報セキュした時点で守秘義務違反を犯しているとも言える状況

リティ事故の一類型である。確かに，情報の漏えいであった。

は依頼者などとの関係で弁護士業務にとって大きな

現在，広く使われているサービスの中にも同様の規リスクである。しかし，情報の紛失や毀損も弁護士約を有しているものは多い。弁護士として業務でこの業務の大きな阻害要因である。

ようなサービスを利用することは避ける必要がある。

「記録が見つからない」などという事態は，多かれ少なかれ誰しも経験があることである。また，パソコ④ 弁護士自治の問題

ンやハードディスクの故障や災害によるデータ喪失も弁護士自治は，弁護士会が会員に対して必要な監無視できないリスクである。ハードディスク関連企業

督を行うことによって，弁護士の不祥事について自浄の調査によると，ハードディスクを 4 年間使用すると，

能 力を発 揮できることが前 提となっている。しかし，20％に故障が発生するとの報告がある＊3。

本件事故のような情報セキュリティ事故について，弁護データが失われると，紙から再現したり，依頼者や士会はそれまで十分な対策を講じてこなかった。この相手方からデータを再度受領したりするなど，大きな点，情報セキュリティに関する一定のルールを有して

時間的・経済的コストが掛かり，信用問題にもつながいた裁判所や検察庁には差を付けられていた。弁護士る。したがって，サーバやパソコン内のデータについて会が十分な監督機能を発揮できないのではないかとのは，定期的にバックアップを取る必要がある。また，疑いを抱かれても仕方がない状況だったのである。

取得したバックアップは，事務所外で保管しないと

弁護士自治を守るためには，弁護士会として情報＊ 3：Blackblaze 社の 2013 年の調査結果。

6

され告知された。

LIBRA Vol.16 No.1 2016/1

盗難や災害には対応できない。

ム N
C Oコ L ラU M

特集

セキュリティの3要素
セキュリティ事故を漏えい型と紛失・毀損型に分類したが，これはセキュリティの 3 要素と言われる分類に対応している。セキュリティというと，一
般的には「漏えい」を思い浮かべるが，これはセキ
ュリティの 1 つの要素に過ぎない。漏えいによって弁護士の事例ではないが，2012（平成 24）年に発生したファーストサーバ社（クラウド事業者）の大量データ

弁護士の情報セキュリティ

保 全されなくなるセキュリティの要 素は，機 密 性（Confidentiality）と言われる。情報へのアクセス
権 限のある者だけがアクセスできる状 態を指す。
セキュリティは， この機 密 性のほかに， 完 全 性喪失事件では，親会社が 12 億 1900 万円の特別損失（Integrity）と可用性（Availability）という 2 つを計上していて，その損害の大きさがうかがわれる。

の要素があるとされている。完全性とは，情報が改ざんされていない状態のことをいい，可用性とは，必要なときに情報にアクセスできることをいう。こ3

弁護士を取り巻く
情報セキュリティ法規制

れら 3 つの要素の頭文字を取って，セキュリティの3 要素のことを C I A と呼ぶ。

機密性

われわれ弁護士を取り巻く情報セキュリティに関す

Conﬁdentiality

る法規制や倫理規定には，以下のようなものがある。

⑴ 刑事法
秘密漏示罪 （刑法 134 条 1 項）

完全性

Integrity

可用性

Availability

故意に業務上知り得た秘密を漏らしたとき，6 か月
以下の懲役又は 10 万円以下の罰金
裁判員の氏名等漏示罪 （裁判員裁判法 109 条）
故意に裁判員候補者名簿等を漏らしたとき，1 年以秘密を保持する権利と義務を負う。前掲大阪地裁

下の懲役又は 50 万円以下の罰金の裁判例では，本条が民事責任の根拠としても機能している。
「職務上知り得た秘密」なので，弁護士⑵ 民事法

会活動などで知り得た秘密も含まれる。

準委任契約上の善管注意義務 （民法 656 条，644 条）

安全管理措置義務 （個人情報保護法 20 条）

不法行為にもとづく損害賠償義務 （民法 709 条）

個人情報取扱事業者 ＊5 は，個人データの漏えい，事件の紹介者に対して，辞任に際して事件の顛末を滅失，毀損の防止その他の安全管理措置を講ずる

話し，準備書面の一部を交付したことが不法行為に義務を負う。

＊4。
当たるとされた裁判例がある（表 1〔4 頁〕の 4 番）

サイバーセキュリティ基本法上の義務明確に弁護士を名宛人とした規定はない。ただし，⑶ 行政法

国民はすべからくサイバーセキュリティの重要性に関

秘密保持義務 （弁護士法 23 条）

する関心と理解を深め，サイバーセキュリティの確弁護士又は弁護士であった者は，職務上知り得た保に必要な注意を払うよう努める義務を負う（9 条）。

＊4：大阪地判平成 21年12月4日判タ 1345 号196 頁＊5：平成 27 年改正によって個人情報取扱事業者についての「保有する個人データの数が過去 6 月以内のいずれの日においても5000を超えない」という制限が撤廃されたので，弁護士及び弁護士会もすべからく個人情報取扱事業者に該当することとなる。

LIBRA Vol.16 No.1 2016/1

7

ム N
C Oコ L ラU M

特集

サイバーセキュリティ基本法
サイバーセキュリティ基本法は，2015（平成 27）
年1月に施行された法律であり，サイバーセキュリティに対する脅威の高まりを背景に，サイバーセキュリティの確保を目的として，国・地方自治体，ネットワーク
業者などの重要社会基盤事業者，サイバーセキュリ

弁護士の情報セキュリティ

ティ関連事業者などの義務を定めた法律である。
弁護士や弁護士会の役割は直接規定されていないが，サイバーセキュリティ施策の推進に当たっては，
国民の権利を不当に侵害しないように留意しなければならない（3 条 6 項）とされているので，弁護士はていくPlan・Do・Check・Act サイクルを回していく必要がある。その一助となるために 2013（平成 25）年に弁護士セキュリティガイドラインが作成された＊6。

国民の側に立って，政府による行き過ぎたサイバー

位置づけとしては規程や規則ではなくガイドライン

セキュリティ対策によって生ずる権利侵害に対抗であり，懲戒の直接的根拠となるものではない。ただ，する必要がある。
また，いずれは環境権のような請求権的権利として，良好なサイバーセキュリティが保たれた I T 環境の生成・維持を求める権利が認められる時代が来るのではないだろうか。

職務基本規程 18 条などへの違反の有無を判断する際の間接的な資料とされる可能性がある。
対象は，サイバーセキュリティだけではなく，紙媒体の情報も含む。名宛人は弁護士である。強く推奨
する取り組みについては「すること」，物的・人的・⑷ 倫理規定経 済 的 環 境に応じて推 奨する取り組みについては

秘密保持義務 （弁護士職務基本規程 23 条）「望ましい」という記載をしている。

弁護士は，依頼者について職務上知り得た秘密を章立ては以下の通りであり，情報の生成から消滅

漏えい・利用してはならない。弁護士法 23 条と比までのライフサイクルを縦軸に，情報を取り扱う機器

較すると，主体が弁護士に限定され，対象が職務上（パソコン，FAX，携帯など）や媒体（電磁的記録，

知り得た秘密に限定されている。

紙など）の種別を横軸に，それぞれの場合における事件記録に関する義務 （弁護士職務基本規程 18 条）

情報を取り扱う上での注意点を述べている。

弁護士は，事件記録の保管・廃棄に際して，秘密及びプライバシーに関する情報が漏れないよう注意
しなければならない。対象を事件記録に含まれる秘密・プライバシーに限定して注意義務を課している。

4

弁護士情報セキュリティガイドライン

以上見てきた弁護士に対する法規範は，いずれも抽象的な義務を定めるものである。また，セキュリティ
対策は，平面的な規範だけでは実現できない。具体的なリスク評価を行い，それに応じて弁護士ごと・事務

ただ，このガイドラインは抽象的な内容であり，弁所ごとのセキュリティ対策を立て，それを実施・検証し護士個々の使用環境に応じた具体的なガイドラインで＊6：ガイドラインは，日弁連のホームページからダウンロードできる。
https://www.nichibenren.jp/opencms/export/sites/default/news/documentFile/2014/securityguideline.pdf

8

LIBRA Vol.16 No.1 2016/1

特集
弁護士の情報セキュリティ（独立行政法人 情報処理推進機構，2013 年）

ただ，上右図のように最近はマルウェアの届出件数自体は減少傾向にある＊9。ウィルス対策ソフトウェアなどが普及したことが原因であろう。
しかし，マルウェアを使った攻撃でも，より意図的はない。今後は，代表的な使用環境に応じた具体的なガイドラインを作成していく必要がある。

で巧妙な手法が広がりつつある。いわゆる「標的型攻しかし，どれだけ具体化しても，弁護士や法律事務撃」である。今までのマルウェアによる攻撃は，不特所との使用環境には個別性があり，それぞれに完全に定のパソコンを対象として行われていた。しかし，標フィットしたガイドラインを示すことは不可能である。

的型攻撃は，最初から意図して特定のパソコン又はそガイドラインをベースとして，各人が自己の環境に応のユーザを狙い撃ちにするものである。最近では，年じたリスク管理とセキュリティ対策を立てて実施する金機構に対して標的型攻撃が仕掛けられ，125 万人の必要がある。情報セキュリティ対策は，一律の基準を個人情報が漏えいしたことが記憶に新しい。以下は，示すことができないのである。

そのときに年金機構の職員に送られた攻撃メールの文章である。この攻撃メールの発信者は，企年協（企業年金連絡協議会）という実在の団体を詐称している。

5

具体的な対策方法
件名 :「厚生年金基金制度の見直しについて（試上記の通り，セキュリティ対策は個別性が強いので，

案）」に関する意見

すべての方にフィットする対策方法を示すことはでき
ないが，代表的なリスクとその対策方法を 情報の受領○○ ○○様→ 保管 → 発信・交付 → 持ち出し・複製 → 廃棄 の各

5 月 1日に開催された厚労省「厚生年金基金制

場面に沿って概説する。なお，日弁連ではビデオ研修度に関する専門委員会」最終回では，厚生年も用意しており，無償で受講できる＊7。

金基金制度廃止の方向性を是とする内容が提出されました。これを受けて，企年協「厚生年金⑴ 情報の受領の場面
いかなるリスクがあるか？

電子メールの添付ファイルにマルウェア＊8 が仕込まれていて，それをダウンロードすることによって，ファ基金制度の見直しについて（試案）に関する意見」を，5 月 5日に厚労省年金局企業年金国民年金基金の■■課長に提出いたしました。
添付ファイルをご覧ください。

イルが盗まれたり，毀損されたりするなどの意図しない動作をしてしまうことがあることは，広く知られている。

上記のメールに添付ファイルが付いており，それを＊7：https://kenshu.nichibenren.or.jp/product/detail.php?pid=19711＊8：「マルウェア」とは，不正プログラムのことであり，ウィルス，トロイの木馬，スパイウェア，ボットなどの種類がある。
＊9：独立行政法人情報処理推進機構の1990 年から2012 年までの調査結果。

LIBRA Vol.16 No.1 2016/1

9

ム N
C Oコ L ラU M

特集

年金機構事件の問題点
年金機構の事件では，攻撃が数次にわたって行
われ，最初の 2 回の攻撃では被害が発生しなかったにもかかわらず，3 回目の攻撃で個人情報の漏えいが発生した。最初の 2 回の攻撃時点で情報が共有され，注意喚起が十分になされていたら，3 回目の弁護士の情報セキュリティ

攻撃も防止できたかもしれない。
また，個人情報を格納しているデータベースが外部と接 点のあるネットワークに接 続していたという構造上の問題もあった。掲示板誤公開事件でも問にもなる。1 時間 2 万円の損失とすると，合計で 1 億7500 万円もの損失となる。

題となった「扱っていい情報と扱ってはいけない情報を切り分ける」という視点が重要であると再認識

3 万 5000 人 ×0.25 時間 ×2 万円＝ 1 億 7500 万円

させられる事件である。

どのように対応するのか？

複数の受信者がダウンロードした結果，それらを起点

紙文書の所在不明事故や災害による喪失をなくすたにしてマルウェアの感染が広がり，個人情報が盗取さめには，適切な分類と保管が必要である。補助的な対れた。同様の標的型攻撃メールを弁護士向けに作成

策として，印刷物の元となった電子文書やスキャンしすることも容易である。

て作成した PDF などバックアップとなるものを適切に分類・保管することが考えられる。I T 技術は情報セ

どのように対応するのか？

キュリティ上の災厄をもたらすだけではなく，情報セキ

予防的対策としては，ウィルス対策ソフトウェアのュリティ事故を防ぐ道具にもなる。ただ，電子媒体と導入，差出人や件名に不自然さを感じたら開封しない，して保管することで増すリスクもある。このような二律発信者のメールアドレスがフリーメールではないか確認

背反的な関係は，情報セキュリティを考える上の永遠する，などの方法が考えられる。

の問題である。

しかし，標的型攻撃が巧妙に行われると，それを見破ることは事実上困難である。したがって，事後的な⑶ 情報の保管の場面（パソコン）

対 策が重 要となる。 感 染に気 付いたらすぐに LAN

いかなるリスクがあるか？

ケーブルを外す，無線 LAN ステーションの電源を切る

パソコンに保管中のデータを喪失したり，改ざんさなどして他のパソコンに影響を与えないようにすることれたりするリスクには，いくつかの種類がある。

が必要である。
◦マルウェアへの感染⑵ 情報の保管の場面（紙）
いかなるリスクがあるか？

◦機器（ハードディスクなど）の故障◦誤操作

紙の記録は，管理が不十分で所在が分からなくなる

10

ことによる紛失のリスクと，災害などによる喪失のリ

マルウェアへの感染ルートは，電子メールの受信にスクにさらされている（CIA でいうところの可用性に伴うものよりも，ウェブサイト閲覧に伴うものや，他関するリスク）。記録の中に綴じ込まれているはずのの感染源からの副次的感染の方が圧倒的に多い。

「あの紙」がない！などという経験は，多かれ少なか

また，機器（ハードディスクなど）の故障は，実感

れあるものだ。試算だが，全弁護士数約 3 万 5000 人

よりも頻発している。前述した調査結果では，ハード（2014 年度弁護士白書）が 1 年に 1 回 15 分間書類をディスクを 4 年間使用し続けると，その 20％に故障が探すとすると，その総計は 52 万 5000 分（8750 時間）

発生するとのことであったが，パソコンを使用してい

LIBRA Vol.16 No.1 2016/1

特集
弁護士の情報セキュリティ（トレンドマイクロ株式会社，2008 年）

Windows や MacOSなどの基本ソフトウェアのセキュリる者の実感としては，それほど多くの故障に出会うわ

ティアップデートを行う，基本ソフトウェアに組み込まけではない。しかし，それはハードディスクが故障しれていたり，別途購入できたりするマルウェアに対抗たとしても，ハードディスクの枢要な箇所でなければ，するソフトウェア（ファイアウォール，ウィルス対策ソ

ハードディスク全体のデータが失われることはないから

フトウェアなど）を機能するようにしたり，インストール

である。運悪く枢要な箇所が故障すれば，全体のデーしたりしておくなどの措置が考えられる。

タが失われる。故障は発生しているが，運良く大きな

なお，感染の原因となる脆弱性は，基本ソフトウェ

データ喪失にはつながっていないだけかもしれないのでアよりも基本ソフトウェアの上で使われるミドルウェアある。

の方に多く見られる。 最 近の感 染 経 路の多くが，Adobe Flash Player，JRE，Adobe Reader などのどのように対応するのか？

Microsoft や Apple といった基本ソフトウェアメーカー─── マルウェアへの感染に対応する ───

ではない会社が作成したミドルウェアに存在するセキ

マルウェアへの感染を防ぐ方法には，以下の 3 種類

ュリティ上の弱点を狙ったものとなっている＊10。これがある。

らのソフトウェアは，基本ソフトウェアに較べてアップ
デートを怠りがちなので，攻撃者の標的になりやすい◦危険に近づかないのである。したがって，これらのミドルウェアについて◦危険に触れても感染しないようにする

は，必要がないものは使わない＊11，必要があるものは◦事後的な対策を迅速に行う

セキュリティアップデートを怠らない，などの措置を執る必要がある。個々のソフトウェアごとのアップデート

危険に近づかないようにするためには，作成者の身方法は個別性が強く，ひとつひとつ解説することは元がはっきりしないウェブサイトは閲覧しないという方できないが＊12，多くの場合アップデートを行うように法が考えられる。ただ，職務上，そのようなサイトにメッセージが出るので，そのようなメッセージが出たら，アクセスせざるを得ない場合も考えられる。そのようそれに従ってアップデートを行うべきである。

なときには，事件記録などが格納されているサーバとは接続していないネットワークに接続したパソコンから

Adobe Flash，Adobe PDF Reader，

アクセスすることが望ましい。

Java（JRE）などのアップデートを忘れずに！

危 険に触れても感 染しないようにするためには，＊10：2015 年の日本アイ・ビー・エム株式会社マネージド・セキュリティー・サービスの調査（2015 年上半期 Tokyo SOC 情報分析レポート）に
よるとウェブサイトの閲覧に伴う感染の 99％が Adobe Flash Playerを経由したものであった。なお，脆弱性が発見されるとそのソフトウェアが狙われるので，どのソフトウェアが感染源になるかは，年と時期によって大きく変動する。
＊11：ミドルウェアを使わない方法としては，アンインストール（取り除いてしまう）方法もあるが，ブラウザーでは，それらのミドルウェア（プラグインという）を使用したいときだけ使用するように設定することもできる場合もある。Adobe Flash はアニメーションや音声の再生などを行う
ウェブサイトで用いられているが，再生の必要はないことの方が多いので，動作しないように設定した方が無難である。
＊12：Adobe Flashに関しては，下記のサイトで最新版か否かの確認ができ，アップデートもできる。
https://helpx.adobe.com/jp/flash-player/kb/235703.html

LIBRA Vol.16 No.1 2016/1

11

特集
弁護士の情報セキュリティ

マルウェアに感染してしまった場合の事後的対策とバックアップの方 法としては， 単 純なものとしては，しては，感染を広げないために迅速に当該パソコンと市販の USB 接続のハードディスクを買ってきて，それネットワークの接続を切ることが重要である。その上で，をつないでコピーするという方法が考えられる。ただマルウェアを駆除するソフトウェアを動かして，感染それをパソコンと同じ場所に置いておいたのでは，災害を除去する必要がある。ただし，最近はゼロデイ攻撃

や盗難に対応できない。

といって，セキュリティ会社が対応を取る前に次々ともうひとつの方法としては，ネットワークを経由し新しいマルウェアを作成して攻撃する手法があり，そて提供されるクラウドサービスで保管する方法がある。

のような攻撃に対しては，駆除は有効ではない。そのDropbox，Google などが比較的安価な保管サービスをような場合には，当面，その感染したパソコンを使わ提供している。ただ，無償のサービスには規約上，守秘ない，という対策を取るほかない。

義務が担保されていないものもあるので，注意が必要である。

─── 故障や誤操作に対応する ───ハードディスクなどの故障や誤操作を 100％防止す⑷ 情報の保管の場面（可搬電子媒体）

ることはできない。したがって，これに対応するため

いかなるリスクがあるか？

には，データを喪失したときのリカバリー策としてバスマートフォン，ノートパソコンやデジタルカメラでックアップを取っておく以外に有効な手立てがない。

使われる SD カード，USB メモリなどの持ち運びができる電子媒体（可搬電子媒体という）には，下記の

ム N
C Oコ L ラU M

無線LAN（Wifi）のリスク
公衆無線 LAN サービスが普及しており，弁護士

ような特徴がある。
◦小さいので紛失しやすい◦貴重な情報が格納されている会館でも利用できる。しかし，誰でもアクセスできるタイプの無線 LAN は，同じ回線を見知らぬ人同士で共有していることを忘れてはならない。パソコ
ンにはファイルやプリンタの共有機能があり，既定

統計＊13 によると，携帯電話をもっている人の 2.6％が携帯電話を紛失した経験を有するとのことである。

の設定では一部のファイルについて公開する設定にまた，セキュリティ対策会社が模擬試験を行ったとこなっている。そのままセキュリティ設定のないホテ

ろ，スマートフォンを拾得した人の実に 96％が中身をルや空港などの無線 LAN サービスに接続すると，公見ようとしたそうである。

開されたファイルが丸見えとなってしまう。筆者がそのようなサービスに接 続して試してみたところ，多くのファイルが公開されていた。各自のパソコンの設定をよく確認して欲しい。

このようにリスクにさらされている可搬電子媒体であるが，その反面，利便性ゆえに電話帳や電子メールなど貴重かつ秘匿性の高い情報が満載なのである。

＊13：日本ネットワークセキュリティ協会の 2011年の調査。

12

LIBRA Vol.16 No.1 2016/1

特集

可搬電子媒体に対するリスクに対応するためには，
以下のような方法が考えられる。

弁護士の情報セキュリティ

どのように対応するのか？

暗号化して保管するなどの措置を執る。これらの措置を執ると，可搬電子媒体を使用する際にいちいちパス
ワードを入れたり，暗号の復号処理で処理速度が落ちたりして，不便である。しかし，セキュリティを確保◦不必要な情報を入れないするために，一定の範囲で効率性が低下することは避◦パスワードロック，暗号化など防御措置

けがたい。効率性とセキュリティの確保のバランスをどのように図るのか，これを各人の使用環境やリスク

可搬電子媒体に入れる情報は必要 最 低 限のものにしたい。 特にの程度などと相談しつつ，適切に設定していくことが必要である。

USB メモリや SD カードなどには，本当に必要な情報しか入れないよ⑸ 情報の発信・交付の場面

うにしたい。特に USB メモリを恒いかなるリスクがあるか？

久的な保存媒体として使用するこ

弁護士がよく使う発信媒体には，FAX と電子メーとは避ける必要がある。なぜなら，ルがある。FAX 誤送信による事故は，過去に懲戒事

紛失のリスクが高いほか，データ破損の危険も高いか例（表 1〔4 頁〕の 3 番の事例）もある。2013（平成らである。

25）年の日弁連の調査 ＊15 によると回答数 475 人中

また，最近は，刑事記録の閲覧などのときにコピー

90 人（18.9％）が FAX 誤送信の経験を有している。

の代わりにデジタルカメラで撮影することが多く行われまた，民間の調査＊16 によると，下記のような割合でるが，撮影したデータはできるだけ早く安全なパソコ

FAX 誤送信が発生しているとのことである。

ンに移し，いつまでも SD カード内で保 管することは避けたい。
また，ノートパソコンなどを使用する際には，ノートパソコンのハードディスクにはできるだけ情報を格納しないで，サーバに格納して VPN ＊14 経由でアクセスしたり，クラウドサービスで保管してアクセスするなどの方法を取るべきである。
どうしても可搬電子媒体に情報を格納せざるを得ないときでも，必ずパスワードロックを掛ける，情報を（NPO 日本ネットワークセキュリティ協会，2011 年）＊14：VPNとは，Virtual Private Network の略称。インターネットは公共ネットワークであるが，それをまたがってLANなどの私的なネットワーク
を接続させる技術である。ルータなどのネットワーク機器に予め備わっているVPN 機能を使用する方法や，VPN 用のソフトウェアを導入する
方法などがある。いずれも安価に利用でき，外部業者にデータを委託することに伴うリスクを避けることができる。
＊15：第18 回弁護士業務改革シンポジウム基調報告書150 頁。
＊16：NPO日本ネットワークセキュリティ協会による2011年の調査結果。

LIBRA Vol.16 No.1 2016/1

13

ム N
C Oコ L ラU M

特集

リスクへの対応方法の分類
リスクへの対応方法には，①回避，②移転，③低減，④保有の 4 種類があるとされている。
①回避は，リスクに近づかないことでリスクを取り去る方法である。可搬電子媒体のケースで言えば，
スマートフォンを持たない，スマートフォンにはデー

弁護士の情報セキュリティ

タを入れない，などの方法が回避に当たる。
②移転は，リスクを取り去ることができないので，他者に移転することである。例えば，情報漏えい保険や弁護士賠償保険に入る，といった方法が考えられる。
③低減は，保有せざるを得ないリスクをできる限り低減させることである。例えば，スマートフォンにパスワードロックを掛ける，データを暗号化する，などといった方法である。
④保有は，低減策を講じても保有せざるを得ず，ある。そこで，FAXについては，宛先の番号を分かり易く大きく書いておく，送信前に自分以外の人に確認してもらう，送信開始後も FAX 機器の側を離れず，
正しく送信されているかを確認する，などの方法で可及的に誤送信を防止する。
電子メールについても，重要な内容はメール本文には記載せず，パスワードロックを掛けた添付文書にかつ，回避するわけにもいかないリスクを甘受する

記載するなどの方法がある（パスワードは電子メール

ことである。

以外の方法で伝える必要がある。面談時に予めパス

これは，情報セキュリティのみならず，あらゆるリスクへの対処方法に当てはまる。弁護士は，リスクを見極め，回避，移転，低減そして保有を選択していく必要がある。

ワードを決めておくといった方法が有効である）。そうすれば，仮に誤送信したとしても，肝心の部分を見られずに済む。また，メール本文は公衆回線を裸の状態で流れるので，傍受などのリスクにもさらされている。

電子メールの誤送信も日常よく目にする。前述の

また，Gmail には，わずかな時間であるが送信保留2013（平成 25）年の日弁連の調査によると，弁護士をしてくれる機能があり，送信直後に誤送信に気付いの 12％が電子メールの誤送信を経験している。

たときは，送信を取り消すことも可能である。

また，最近は Twitter や Facebook などのソーシャル
ネットワーキングサービス（SNS）で情報発信する弁護士も増えているが，誤って守秘義務の対象となる事
項をアップしていわゆる「バカッター」にならないように気をつけなければならない。守秘義務の対象事項を第三者に分かる形で漏えいしたわけではないが，事件

弁護士が SNS に投稿する場合も細心の注意が必要の依頼者には自分のことを述べていると分かる内容のである。SNS は意見表明の場でもあり，弁護士のク投稿をブログで行ったことが，弁護士の品位を害する

チコミマーケティングの最良の媒体であるとも言えるのとして懲戒の対象となった事例もある。

で，SNS の使用自体が回避されるべきというわけではない。ただ，守秘義務違反につながったり，依頼者やどのように対応するのか？

FAX や電子メールの誤送信を防ぐためには，まず14

事件の相手方に対する誹謗中傷につながるような投稿は避けるべきである。

リスクを回避する方法として，重要な文書は FAX やまた，SNS に写真を投稿する場合があるが，スマ電子メールでは送らないという対処方法が考えられる。

ートフォンで撮影した写真にはジオタグという撮影場

しかし，迅速性・利便性の要求などから FAX や所情報が付加されている。ジオタグを除去しないで投

電子メールを使用しないわけにもいかないのが現実で稿することで，弁護士の所在情報が漏えいすることが

LIBRA Vol.16 No.1 2016/1

特集

どのように対応するのか？

ので注意が必要である。スマートフォンの設定で，写パソコンやハードディスクを廃棄する際には，デー真撮影時にジオタグを付けないように設定することがタを単に削除するだけではなく，復元できないようなできる。iPhone での設定は，下記のように行う。弁

処理をしてから廃棄する必要がある。データを完全に護士の場合，既定の設定ではジオタグを付けないよう消去するためのソフトウェアが，フリーソフトウェアとに設定しておくべきではなかろうか。

して無償でたくさん提供されている。CD や DVD なら弁護士の情報セキュリティ

あり，それが守秘義務違反を構成することもあり得る

ば，ハサミなどで切断してから廃 棄する必要がある。
また，裏紙は，例外的な場合を除いて，法律事務所においては使用しない方がよい。

6

さいごに

以上，情報セキュリティに関する事故事例，弁護士
なお，IBA は，IBA International Principles onを取り巻く情報セキュリティに関する法規制やガイド

Social Media Conduct for the Legal Profession を発

ライン，具体的なリスク対応方法について述べてきた。

表して，弁護士と SNS の関わり方について原則を提通常，このような記事を読むと，しばらくの間は情報示している＊17。

セキュリティに関する関心が高まり，リスクにも適切な対処がなされる。しかし，時間が経つと徐々に関心⑹ 情報の廃棄の場面
いかなるリスクがあるか？

が失われ，次第に情報セキュリティに関する脅威に鈍感になって行く。そして，忘れた頃に事故が起きる。

紙媒体についてシュレッダーや溶解処理を行わない

情報セキュリティを保つための最大にして唯一の方と漏えいの危険が生ずることは，多くの人が既に知っ策は「気をつけること」である。しかし，情報セキュている事実であろう。デジタルデータについても，単にリティに対する関心を維持することは困難である。個

パソコン上の「 ゴミ箱 」 に入れるだけでは漏えいの人の努力だけで退屈な情報セキュリティ対策を講じつ危険がある。容易に復元ができるからである。

づけることは困難である。だからこそ弁護士会や法律

また，廃棄すべき印刷物を廃棄せずに裏紙として事務所の代表者は，構成員の情報セキュリティへの関使用し，それを誤って第三者に交付することで情報が心を喚起・維持し，情報セキュリティレベルを保つた

漏えいすることもあるので，注意が必要である。表 1めの施策を講じる義務がある。情報セキュリティは人〔4 頁〕の 3 番で挙げたような懲戒事例も生じている。

為的な努力によってしか維持されないのである。

＊17：http://www.ibanet.org/Document/Default.aspx?DocumentUid=27EBAC25-0D13-4318-A1C4-6B751ACA935F

LIBRA Vol.16 No.1 2016/1

15