士業の事務所の標的型メール訓練：税理士・弁護士・社労士の少人数の事務所での進め方

士業の事務所の現状

税理士・弁護士・社会保険労務士などの事務所は、依頼者や顧問先から預かった財務の情報、事件の記録、従業員のマイナンバーなど、漏れると深刻な影響がある情報を扱います。一方で、数人から十数人の事務所も多く、情報システムの専任者がいないことが少なくありません。

各団体の規程での教育の位置づけ

日本弁護士連合会は「弁護士情報セキュリティ規程」を定め、2024年6月1日から施行しています。この規程は、弁護士などに次のことを求めています。

• 事務所の規模や業務に応じて、情報セキュリティを確保するための「基本的な取扱方法」を定める（第3条）
• 事務職員などに、情報セキュリティを確保するための必要な対策を講じさせる（第4条第2項）
• 自分と事務職員などの知識を養うため、研鑽と教育に努める（第4条第3項）

教育は「努めなければならない」という書き方で、標的型メール訓練という方法を指定しているわけではありません。ただ、訓練を行って記録を残すことは、教育に取り組んでいることを示す一つの方法になります。

全国社会保険労務士会連合会は、社労士が顧問先の従業員などの個人情報を多く扱うことから、個人情報を適切に守る体制を整えた事務所を認証する「SRPⅡ認証制度」を設けています。連合会は、マイナンバー制度のもとで、社労士は委託先として顧問先から安全管理措置を監督される立場になると説明しています。

日本税理士会連合会の内部管理体制に関する指針は会員向けに公開されているため、この記事では、税理士事務所については一般に公開されている国税庁とIPAの資料をもとに説明します。IPAの「中小企業の情報セキュリティ対策ガイドライン 第4.0版」は、経営陣を含むすべての役職員に意識向上の教育を定期的に行い、実施の記録を残すことを勧めています。

なぜ訓練が必要か

税務の手続きを装うメール

国税庁は、e-Taxから送られる「税務署からのお知らせ」に似せたメールなど、国税庁からの連絡を装った不審なメールが送られていると注意を呼びかけています。表示名などを「e-Tax」に装い、リンクからフィッシングサイト（偽のサイト）に誘導して、個人情報やクレジットカードの情報を盗む手口です。国税庁は、e-Taxから送るメールは定型の文面で、原則として本文にURLを書いていないこと、支払いの催促をメールで送っていないことを案内しています。

国民生活センターも2026年5月、国税庁やe-Taxを名乗って税金の納付を求めるメールの相談が寄せられていると公表しました。税理士事務所では、職員がふだんe-Taxを使っているため、こうした正しい知識を事務所の全員で共有しておくことが役立ちます。

依頼者や所長を装うメール

IPAの「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）は、取引先とのメールを盗み見て途中から割り込み、振込先の口座の変更を求めるビジネスメール詐欺や、社長などの代表者を装ってLINEのグループを作るよう指示するメールを紹介しています。士業の事務所では、次のような相手を装ったメールが考えられます。

• 依頼者・顧問先：資料の送付、相談の申し込み、至急の確認依頼
• 税務などの公的機関：手続きのお知らせ、書類の確認の依頼
• 会計ソフト・クラウドサービス：ログインの確認、契約の更新
• 所長・代表：振込の指示、チャットのグループ作成の指示

訓練の進め方のポイント

少人数の事務所での対象者の考え方

少人数の事務所では、所長や代表を含む全員を対象にします。代表の名前を装うメールは、代表自身が知っていると訓練になりません。訓練の準備は代表と担当者の1人か2人だけで行い、ほかの職員には「年に何回か訓練を行う」ことだけを伝えておく方法があります。予告の考え方は「訓練は予告する？抜き打ちにする？」で解説しています。

文面の作り方

件名の型の例	本文に入れる要素
「【ご相談】決算資料をお送りします」	顧問先らしい社名と担当者名、資料と称する添付やダウンロードのリンク
「【手続きのご案内】電子申告の登録内容のご確認」	架空の機関名、期限つきの確認依頼、ログイン画面へのリンク
「【所長より】至急の振込をお願いします」	代表の名前、ほかの人に相談しないでほしいという一文、期限

実在する公的機関の名称やロゴはそのまま使わず、架空の機関名にするなど、訓練だとわかったあとに誤解を残さない形にしましょう。本文の要素の組み立て方は「訓練メールの文例・件名の作り方」を参考にしてください。

実施の時期

確定申告の時期や年末調整の時期、社労士事務所なら算定基礎届の時期など、事務所ごとの繁忙期は避けます。繁忙期の前に訓練と種明かしを済ませておくと、税務関係を装うメールが増えたときの備えになります。

報告と確認の手順を決める

不審なメールを受け取ったら誰に知らせるか、振込先や口座の変更の依頼はメール以外の方法で依頼者に確かめるか、といった手順を「基本的な取扱方法」などの事務所の規程に書いておきましょう。訓練では、この手順どおりに動けたかを振り返ります。費用を抑えた進め方は「予算が少ないときの標的型メール訓練」、サービスの課金の形は比較表で確認できます。

まとめ

• 士業の事務所は、漏れると影響の大きい情報を扱う一方、少人数で専任の担当者がいないことが多い職場です
• 弁護士情報セキュリティ規程は教育に努めることを求め、社労士にはSRPⅡ認証制度があります。訓練の記録は取り組みを示す材料になります
• 国税庁やe-Taxを装うメールについては、国税庁の案内（本文に原則URLがない、支払いをメールで催促しない）を全員で共有しましょう
• 所長を含む全員を対象にし、依頼者・公的機関・クラウドサービス・代表を装う文面で、報告と確認の手順を試しましょう