【司法書士のデータ管理術】クラウドだけは危険？業務を止めず守秘義務も果たすバックアップ戦略

補助者

開業時のデータ保管やバックアップは、やっぱりオンラインクラウドに全部入れておくのが一番便利で安心ですよね？

本職

数年前まではそう言われていたけれど、今は「クラウドに入れっぱなし」だけでOKとは言えなくなってきてね…

業務データが「人質」に取られた！どうする？

もし業務データが「人質」に取られたら、あなたはどうしますか？

想像してみてください。ある朝、事務所のパソコンを開いたらすべてのファイルが暗号化されて開けなくなり、画面に「データを返してほしければ身代金を支払え」というメッセージが表示されていたら――。

「進行中の登記案件はどうなるのか？」
「ランサムウェアに感染してデータが暗号化されたら、依頼者にどう説明すればいいのか？」

今回はそんなお話です。

これまで当ブログでは、業務効率を劇的に変える「パソコン選び」や「プリンター選び」について解説してきました。しかし、どれほど高性能な機材を揃えても、その中にある「データ」を失えば、司法書士事務所の業務は一瞬でストップします。

しかも、私たち司法書士には、単なる事業継続（BCP）だけでなく、「厳格な守秘義務」と「法定保存義務（事件簿・関係書類の保存）」という専門職ならではの重い責任が課せられています。

この記事では、ITの現実的なセキュリティ事情を踏まえつつ、過剰なコストをかけずに「業務のスピード」と「鉄壁の安全性」を両立させる司法書士向けのデータ管理サイクルを私なりの解説します。

クラウドに入れておけば100%安全？

クラウドはとても安全だけど…

最初に確認しておきたいのですが、現在、Microsoft OneDriveやGoogleドライブなどの大手クラウドストレージは、世界最高水準のAI監視と強固なセキュリティで守られています。

これらのシステムは国家レベルからの攻撃も想定される中で、それらに打ち勝たなくてはならないので、クラウド自体が直接ハッキングされるリスクは極めて低いと言えます。

この辺が、近年巷を騒がせている各企業が管理しているサーバーへの攻撃を起点とする、日本企業の情報漏洩とは違うところで、大手クラウドストレージが破られることはまずないと考えています。ディフェンス力がどうしても違いますから（と言っても１００％安全ではないでしょう）。

しかし、「クラウドのシステムが安全であること」と「あなたの事務所のデータが安全であること」は別問題です。実際の業務現場で起きるデータ消失・漏えいの大半は、クラウド側ではなく「使用するパソコン（ユーザー側）」で発生します。

情報の漏洩やデータ消去が起こる主な理由

• 同期ハイジャック（ランサムウェア感染）
  ランサムウェアとは、パソコン内のデータを勝手に暗号化して開けない状態にし、元に戻すことと引き換えに金銭（身代金）を要求する悪質なウイルスのことです。
  感染した添付ファイルの実行などにより、事務所のPCがこのウイルスに感染すると、クラウドの自動同期機能によって「暗号化された（壊れた）ファイル」がクラウド上にも上書き同期され、バックアップごと使えなくなるケースが考えられます。
  もちろんクラウド特有の問題ではなく、自前でサーバー組んでいれば、サーバーを介して事務所ごとやれる可能性もあります。
• 解読しやすいパスワードの設定や二段階認証の未設定
  カンタンなパスワード「PASSWORD」や「qwertyuiop」などはもちろんのこと、近年はAIがやや複雑なバスワードであっても、破ってしまいます。AIにとっては、文字のランダムな羅列ではない意味のある単語、例えば「shihousyoshi」は１文字に等しいとのことです。
• 人為的な誤削除・上書きミス
  「古いフォルダを整理しようとして、誤って進行中の案件フォルダごと削除してしまった」「別の書類を上書き保存してしまった」というヒューマンエラーは、どんなに注意していても起こり得ます。クラウドのゴミ箱機能にも保存期間（通常30日程度）があるため、気づくのが遅れると復元できません。
  もっとも、クラウド側のバージョン管理（巻き戻し機能）があるという人もいるかもしれませんが、アカウント自体を乗っ取られたら終わりなのです。

司法書士が実践すべきデータ管理サイクル（私の考え）

こうしたリスクを防ぎつつ、日々の登記・裁判業務をストレスなく回すために最も合理的なのが、データの性質（鮮度と機密性）に応じて保管場所を分ける「3層管理」です。

進行中の案件：「クラウド ＋ 紙」のハイブリッド運用

受任から登記完了（または事件終了）までの間は、作業効率を最優先し、クラウド同期フォルダ上で作業を行います。同時に、重要な本人確認資料や申請書の控えなどは、これまで通り紙に出力して、保管しておきます。

万が一PCやネットワークに障害が起きても、紙のファイルがあればその日の決済や申請手続きを止めずに済みます。

実際、パスワードを突破されてシステムを乗っ取られた国内企業の被害事例でも、「緊急時の対応マニュアルや連絡先までサーバー内に保存していたため、暗号化されて一切閲覧できなくなった」という教訓が報告されています。

進行中の案件や緊急時の連絡網こそ、アナログな「紙」でも手元に持っておくことが最強の命綱になります。

完了済みの案件：物理的隔離で守る

ここが今回の最も重要なポイントです。

業務が完了し、請求・精算が終わった案件データは、事務所のネットワークから物理的に切り離された外付けHDD（またはSSD）へ移動させ、クラウド上のデータは削除します。

• ランサムウェアへの究極の防御： 普段PCからケーブルを抜いて保管しておけば、万が一事務所のPCがウイルスに感染しても、物理的に繋がっていない外付けストレージのデータは絶対に暗号化はされません。
• 情報漏えいリスクの最小化： 完了した過去の依頼者データをクラウド上に溜め込まないことで、万が一アカウントが不正アクセスを受けた際の被害範囲（漏えい件数）を最小限に抑えられます。
• 誤削除からの救済： ローカル（外付けストレージ）でのファイル整理であれば、万が一誤って削除してもWindowsの「ごみ箱」や復元ソフトから救出できる可能性が高まります。

※外付けストレージ自体の故障（寿命）に備え、完了データは「正・副」2台の外付けHDD/SSDに同じ内容を保存しておくと万全です（1台は事務所の耐火金庫、もう1台は自宅など別の場所に保管するのが理想です。できるかどうかは別にして）。

実際の企業被害の現場でも、「10年以上前の過去データまで現行フォルダと同じ場所に溜め込んでいたせいで、どこまで個人情報が抜かれたかの調査・確認作業に莫大な労力がかかった」という失敗談が語られています。

被害を最小限に抑えるため、完了した案件をクラウドから消して外付け媒体へ逃がすことは「データの防火壁」でもあるのです。

なお、同企業は、「password」に毛が生えたような比較的単純なパスワードを突破されてアカウントを乗っ取られしまったとのことです。

業務ひな形・書式集：クラウドで一元管理

登記原因証明情報のひな形や、各種案内文のテンプレートなど、個人の特定につながる情報を含まないデータはクラウドに集約します。これにより、どの端末からでも常に最新の書式にアクセスでき、PCを買い替えた際のデータ移行も一瞬で完了します。

もちろん元データはHDDにも避難させておけば完璧です。

「まさかウチは狙われない」が通用しない現実

「うちは個人事務所（小規模事務所）だから、ハッカーに狙われるはずがない」と考える先生も少なくありません。

しかし、現在のサイバー攻撃は特定の企業を狙い撃ちするものではなく、不特定多数のメールアドレスやシステムに対して無差別に仕掛けられるものが主流です。

なぜいま日本が狙われているのか

「日本語の壁があるから海外のハッカーは来ない」
「うちは小規模事務所だから狙われるはずがない」
――もしそう思っているなら、今すぐ認識をアップデートする必要があります。

実際にサイバー攻撃の被害に遭った国内企業の分析でも、いま日本の中小企業や小規模事業者が標的にされる背景には、以下の４つの理由があると指摘されています。

• AIの進化による「日本語の壁」の消滅
  かつて日本を守っていた言語の壁は、AIによる高精度な翻訳・文章作成によって完全になくなりました。今では日本の商習慣に合わせた自然な日本語で詐欺メールや脅迫文が作られます。
• 攻撃者にとって「コスパが良い（簡単に稼げる）」
  セキュリティに巨額の投資をしている大企業と比べ、中小・小規模の組織は「防御が甘いのに、業務が止まった時の社会的影響が大きい（＝焦って身代金を払いやすい）」ため、攻撃者からすると最も効率よく稼げるターゲットになっています。
• サプライチェーン（取引先）への波及
  近年は、大企業を直接攻めるのではなく、セキュリティの甘い取引先や委託先（関連企業など）を踏み台にして攻撃を仕掛ける手口も急増しています。 つまり、現在のサイバー攻撃は特定の組織を狙い撃ちするものではなく、「防御の甘いところから無差別に侵入して稼ぐビジネス」へと変貌しているのです。
• 保険金（支払い能力）までアテにされている
  攻撃者は被害組織の支払い能力（サイバー保険の加入など）まで見越して身代金を要求してきます。そして士業事務所や中小企業は、業務停止や信用失墜に耐えられず「払わざるを得ない」状況に追い込まれやすいと足元を見られています。

日本企業は長らくサイバー攻撃をあまり受けていなかったため、サイバーセキュリティ対策が後手になってしまったといわれています。

これらの点が、近年の日本企業の情報漏洩が相次いでいる理由だとのことです。

なぜ身代金を払うのか

ところで、警察や専門機関は「身代金は支払うべきではない（払ってもデータが戻る保証はない）」と警告しています。

しかし現実には、セキュリティ大手ソフォス（Sophos）の調査でも、データを暗号化された病院や企業などの48%（過去4年間の平均でも約50%）が、やむを得ず身代金を支払っているという現実が報告されています。

なぜ、これほど多くの組織が身代金を支払ってしまうのか？

たとえば病院であれば、電子カルテや医療システムが止まることが患者の生命の危機に直結しますし、一般企業や士業事務所であっても、「業務が完全に止まってしまう損失」と「顧客情報が公開される信用失墜」には耐えられないからです。

さらに、私たちのような個人・小規模事務所の場合、大企業のように何百万円もかけて外部のセキュリティベンダーに緊急復旧を依頼するわけにもいきません。

最後はバックアップで助けるしかない

実際に簡易なパスワードを突破されてネットワークを乗っ取られ、ランサムウェア被害に遭った国内企業の事例では、「被害直後の緊急対応（フォレンジック調査など）だけで約2,000万円、システムの再構築には数千万円〜億単位の費用がかかった」という数字も公開されています。

個人・小規模の司法書士事務所にこれほどの予算を捻出することは到底不可能です（小規模だからここまでに費用はかからににしても）。だからこそ、被害に遭った際に頼れるのは「手元に残っているクリーンなバックアップデータから、自力で業務環境を再構築すること」だけです。

以上のことから、高価なセキュリティシステムを導入すること以上に、「完了データを物理的に切り離して保管しておくこと（＝最悪PCが全滅しても、外付けストレージとひな形データから自力で業務を再開できる状態を作っておくこと）」こそが、小規模事務所にとって最も現実的で確実な防衛策と言えます。

だからこそ、「データが人質に取られても、最悪そのまま業務を続けられる状態（紙の控えと、切り離された外付けストレージ）」をあらかじめ作っておくことが、事務所と自分自身を守る最大の保険になると考えています。

嘆き　司法書士にIT知識まで求められるのは面倒くさい

最後に、現役司法書士としての正直な嘆きを書かせてください。

我々司法書士は、本来であれば登記や法律実務のプロであって、ITやセキュリティの専門家ではありません。それにもかかわらず、近年はサイバー攻撃のニュースが絶えず、多くの同業者が苦手とするIT・セキュリティについて一定の知識や対策を求められる時代になってしまいました。

「正直、本業以外のセキュリティ対策に頭を悩ませるのは面倒くさい……」

というのが、多くの先生方の本音ではないでしょうか。
だからこそ、高度なIT管理を毎日頑張り続けるのではなく、「難しい知識がなくても、物理的な仕組みで事故を防げる現実的な運用」を提案したいと思います。

まとめ　ITに頼り切らない「物理的な切り離し」が最強の防御

司法書士事務所のIT環境を整える際の私の考えは次の通り。

ひと昔前と異なるのは、データだけでなく物理的な紙という形で出力しておくのも、近年では有力な対抗策であると思うようになりました。

この流れを事務所のルールにしてしまえば、難しいセキュリティ設定に悩まされることなく、顧客の大切な個人情報を守りながら本業に集中することができると考えています。

本職

せっかくなので、これを機にパソコンやプリンターの環境を見直していない方は、ぜひ以下の記事もあわせて参考にしてみてください。ええ、宣伝です。

【あわせて読みたい①】司法書士事務所の「パソコン選び」完全ガイド

2022-09-20 司法書士の開業時に用意するパソコンは何がよい？失敗しない選び方とおすすめ構成（２０２６年改訂版）

【あわせて読みたい②】業務効率が激変する「プリンター・複合機選び」のポイント

2022-09-19 小規模司法書士事務所で使うプリンターの見極め方－開業前に知っておきたいポイントー

本記事ではAI（Gemini）を文章の構成・表現の整理に活用しています。一次情報の収集および内容の確認・最終編集は筆者が行っています。