税理士事務所のためのGoogle Workspace 安全運用ガイド｜守秘義務とマイナンバーを守る設定
「Google Workspaceは便利だが、税理士事務所としての守秘義務を守れているのか不安だ」
税理士事務所・会計事務所は、顧問先の売上・利益・口座情報といった財務データに加え、従業員のマイナンバー（特定個人情報）まで、極めて機微な情報を日常的に取り扱います。万が一これらが漏れれば、顧問先からの信頼を一瞬で失うだけでなく、税理士法上の守秘義務違反や、個人情報保護法・番号法に基づく責任を問われる事態にもなりかねません。事務所にとって情報漏えいは、廃業に直結しかねないリスクです。
一方で、テレワークや複数拠点での業務、顧問先とのデータのやり取りを考えると、クラウドの活用は避けて通れません。Google Workspaceは、正しく設定すれば、税理士事務所に求められる高い安全水準を満たせるツールです。問題は「初期設定のまま、便利さ優先で使っていないか」という点にあります。
テクノリレーションズでは、小田原・西湘エリアの士業の事務所からも、セキュリティ設定に関するご相談をいただきます。この記事では、税理士事務所がGoogle Workspaceを「安全に」運用するための設定と考え方を、法的な要件と結びつけて、実務目線で解説します。
税理士事務所のセキュリティは、「便利な初期設定」のままでは不十分です。守るべき情報の重さに見合った設定が必要です。
この記事では、守秘義務・マイナンバーの安全管理措置という法的要件を、Google Workspaceの具体的な設定にどう落とし込むかを、一歩踏み込んで解説します。一部の機能は上位プランが必要なため、プランごとの違いにも触れます。
税理士事務所が「守らなければならない」情報と法的責任
具体的な設定の前に、なぜそこまで厳しく考える必要があるのか、その根拠を整理しておきましょう。設定の「なぜ」を理解しておくと、所内のルール作りや顧問先への説明にも役立ちます。
税理士法上の守秘義務
税理士には、税理士法第38条により、業務上知り得た顧問先の秘密を守る義務（守秘義務）が課されています。これは退職後も続く重い義務です。顧問先の財務情報がクラウド経由で外部に漏れれば、この守秘義務違反が問われる可能性があります。「クラウド業者に預けたから」という理由で、事務所の責任がなくなるわけではありません。
マイナンバー（特定個人情報）の安全管理措置
税理士事務所は、顧問先の年末調整や法定調書の作成などで、従業員や役員のマイナンバーを取り扱います。マイナンバーは「特定個人情報」として、通常の個人情報よりも厳格な取り扱いが法律（番号法）で義務づけられています。事業者には、組織的・人的・物理的・技術的の4つの観点から「安全管理措置」を講じる責任があります。
安全管理措置の4つの観点（このうち技術的対策をGWSで実現）
- 組織的：責任者の設置、取扱規程、漏えい時の対応体制
- 人的：従業者への教育・監督
- 物理的：持ち出し・盗難・のぞき見の防止
- 技術的：アクセス制御、不正アクセス防止、通信・保存時の保護 ← この記事の中心
Google Workspaceの設定で主に担えるのは、4つ目の「技術的安全管理措置」です。誰がどのデータにアクセスできるかを制御し、不正アクセスを防ぎ、記録を残す——これらを設定で実現していきます。
個人情報保護法と「委託先の監督」
顧問先の個人データを預かる以上、個人情報保護法上の責任も生じます。クラウドを使う場合は、サービス提供者（この場合はGoogle）が適切な安全管理を行っているかを確認したうえで利用する、という考え方が基本です。Google Workspaceは国際的なセキュリティ認証を取得しており、データセンターレベルでの保護は手厚いですが、「事務所側の設定」が甘ければ、結局そこが穴になります。
Google Workspaceで「技術的安全管理措置」をどう実現するか
ここからが本題です。税理士事務所がGoogle Workspaceで必ず押さえておきたい設定を、優先度の高い順に解説します。多くは標準的なプランでも設定可能ですが、より高度な制御には上位プランが必要なものもあります。
二段階認証（2段階認証プロセス）の全所員での強制
パスワードが1つ漏れただけで顧問先データに侵入される——これを防ぐ最も基本かつ強力な対策が二段階認証です。スマホへの通知やセキュリティキーを使い、パスワードに加えて「本人であること」をもう一段確認します。
重要なのは、所員任せにせず、管理者が「全員に必須」として強制することです。Google Workspaceの管理画面から組織全体に適用でき、これだけで不正ログインのリスクを大幅に下げられます。税理士事務所であれば、例外なく全員に適用すべき設定です。
アクセス権限の最小化（共有ドライブとフォルダ設計）
「所内なら全員が全顧問先のフォルダを見られる」という状態は、便利ですが危険です。担当外の所員や、退職予定者まで全データにアクセスできてしまいます。安全管理の基本は「必要な人が、必要なものだけにアクセスできる」最小権限です。
- 顧問先ごと・チームごとに「共有ドライブ」を分け、担当者だけをメンバーにする
- 「閲覧のみ」「編集可」など、役割に応じて権限を分ける
- マイナンバーなど特に機微なデータは、保管場所と閲覧者をさらに絞る
個人のマイドライブに顧問先データを置きっぱなしにすると、その人が辞めた時に引き継げません。事務所の資産は「共有ドライブ」で管理するのが鉄則です。
監査ログ（誰が・いつ・何にアクセスしたか）
万が一の漏えいや、内部不正が疑われた際に、「誰がどのファイルを開いた・ダウンロードした・共有した」という記録（ログ）が残っているかどうかは決定的です。Google Workspaceの管理画面では、こうした操作履歴を確認できます。記録が残っているという事実自体が、内部不正への抑止力にもなります。
※確認できるログの範囲や、より高度な調査機能（セキュリティ調査ツールなど）は、プランによって異なります。
メール誤送信・うっかり外部共有の防止
税理士事務所の情報漏えいで非常に多いのが、悪意のない「うっかり」です。宛先（CC）の入れ間違いで他社に決算情報を送ってしまう、ファイルの共有設定を「リンクを知っている全員」にしてしまう——こうしたヒューマンエラーへの備えも、技術的対策に含まれます。
- Gmailの「送信取り消し」の猶予時間を最大に設定し、送信直後の取り消しを可能にする
- 事務所外のアドレスに送る際に警告が出るようにする
- ドライブのファイルが安易に「全体公開」にならないよう、外部共有のルールを管理者側で設定する
※情報漏えいを自動検知・ブロックする高度な機能（DLP：データ損失防止）は、上位プランで利用できます。
端末（デバイス）の管理と紛失対策
外出先や在宅で使うノートPC・スマホの紛失・盗難は、物理的かつ技術的なリスクです。Google Workspaceのエンドポイント管理を使えば、画面ロックの強制や、紛失した端末から会社データを遠隔で消去（リモートワイプ）するといった対応が可能です。私物のスマホで顧問先データを見る場合ほど、この備えが効いてきます。
一歩進んだ守り：コンテキストアウェアアクセス（CCA）
ここまでの対策に加えて、税理士事務所のように特に機微な情報を扱う場合に有効なのが「コンテキストアウェアアクセス（Context-Aware Access）」です。これは、「誰が」だけでなく「どこから・どの端末で」アクセスしているかという“状況（コンテキスト）”に応じて、アクセスの可否を細かく制御する仕組みです。
通常のアクセス制御は「正しいIDとパスワードなら、どこからでも入れる」のが基本です。しかしコンテキストアウェアアクセスを使うと、ログインが成功していても、状況が条件に合わなければアクセスを止められます。
税理士事務所での活用イメージ
- 顧問先データには、事務所のIPアドレスからのみアクセス可（自宅やカフェからは不可）
- 事務所が管理する端末からのみ許可し、私物のスマホからの閲覧はブロック
- 海外からのアクセスを遮断し、不正ログインの試みを入口で止める
- 「閲覧はどこでも可、編集は事務所内のみ」のように、操作ごとに条件を分ける
「自宅作業は認めるが、最も機微なデータだけは事務所からしか触れない」といった、現実の働き方に合わせたきめ細かいルールを技術的に強制できるのが強みです。守秘義務を負う事務所にとって、これは非常に心強い守りになります。
注意：利用には上位プランが必要です
コンテキストアウェアアクセスは、Business Starter / Standard / Plus といった標準的なプランでは利用できず、Enterprise系のプランや、Cloud Identity Premiumといった追加ライセンスが必要です。同様に、クライアント側暗号化（CSE）やDLPなどの高度な機能も上位プランが前提となります。「どこまでの守りが必要で、そのためにどのプランを選ぶべきか」は、事務所の規模や顧問先の数によって変わります。対応状況は変更されることもあるため、導入時には最新のプラン要件をご確認ください。
抱えていた課題
所員が増えてきた士業の事務所F所では、便利さを優先して、全所員が個人のスマホからいつでも顧問先データを見られる状態になっていました。所長は「機微な情報が、誰のものとも分からない私物端末に表示されているのが不安」と感じていましたが、何をどう設定すればよいか分からず放置されていました。
実施した対策と結果
テクノリレーションズでは、まず全所員への二段階認証の強制と、顧問先ごとの共有ドライブによるアクセス権限の整理を実施。そのうえで、特に機微なデータについては、コンテキストアウェアアクセスで「事務所の管理端末・事務所のネットワークからのみアクセス可」と設定しました。結果として、私物スマホからの不用意な閲覧がなくなり、「どこから誰が触れるか」を所として把握・コントロールできる状態になりました。
大切なのは「便利さ」と「守秘義務」のバランスです。すべてを禁止するのではなく、データの機微さに応じて守りの強さを段階的に変えることで、業務効率を落とさずに安全性を高められます。
※本事例は実際のご相談傾向をもとに構成したイメージです。
税理士事務所がやりがちなNG運用
最後に、ご相談の中でよく見かける「危険な運用」を挙げておきます。心当たりがあれば、優先的に見直しましょう。
これは避けたいNG運用
- 所長や所員が、個人の無料Gmailで顧問先とやり取りしている
- 顧問先データを、担当者のマイドライブや私物PCに置いている
- 共有ファイルが「リンクを知っている全員が閲覧可」になっている
- 二段階認証を「使いたい人だけ」にしている
- 退職した所員のアカウントを、しばらく削除せず放置している
- USBメモリで顧問先データを持ち出している（紛失・暗号化なしのリスク）
特に最初の「個人の無料Gmailでのやり取り」は、守秘義務の観点で見過ごせないリスクです。詳しくは無料Gmailを仕事で使うリスクの解説記事をご覧ください。
また、古いPCやUSB、外付けディスクを廃棄する際のデータ消去も見落とされがちです。物理的な破壊を含む確実な廃棄については、HDD物理破壊サービスもあわせてご検討ください。
まとめ｜「便利な初期設定」から「守れる設定」へ
税理士事務所にとって、情報漏えいは信頼の失墜と法的責任に直結します。Google Workspaceは、正しく設定すれば守秘義務やマイナンバーの安全管理措置を満たせる強力なツールですが、それは「初期設定のまま便利に使う」ことと両立しません。
今日から見直したいポイント
- 二段階認証：全所員に強制する
- アクセス権限：共有ドライブで「必要な人だけ」に絞る
- 誤送信・外部共有：送信取り消しと外部共有ルールを設定する
- 端末管理：紛失時に遠隔で消せるようにする
- 機微データ：必要に応じてコンテキストアウェアアクセスで場所・端末を限定する
「自事務所のプランでどこまでできるのか分からない」「守秘義務に見合った設定になっているか、一度プロに点検してほしい」という所長様・ご担当者様は、ぜひテクノリレーションズにご相談ください。小田原・箱根・西湘エリアを中心に、士業の事務所の事情を踏まえたGoogle Workspaceの設計・設定・運用支援を行っております。Google Workspace 導入支援の詳細はこちら。
ITのお困りごと、まずはお気軽にご相談ください
小田原・箱根・西湘エリアに密着。中小企業の「困った」を、電話一本で解決します。
