香港の法律事務所向けITセキュリティチェックリスト：PDPO、文書管理システム、サイバー保険の証拠

要点： 香港の法律事務所のITセキュリティは、十のチェックに集約されます。全員の多要素認証、支払い詐欺から守られたメール、各案件の担当者に合わせた文書管理システムのアクセス権、暗号化され管理された端末、退職者の速やかな削除、実際に復元したことのあるバックアップ、定期的な脆弱性スキャン、保存されたログ、IT委託先との契約、そしてサイバー保険会社に出す証拠ファイルです。その多くは、すでに Microsoft 365 と文書管理システムの中にあります。最も安い第一歩は、どのチェックを満たしていないかを示す固定価格のレビューです。

このチェックリストは、数名から数百名規模の香港の法律事務所のマネージングパートナー、プラクティスマネージャー、オフィスマネージャー向けです。ITエンジニアではなく、事務所を運営する方に向けて書いています。各項目では、何を確認するか、なぜ法律事務所にとって重要か、どの証拠を残すかを説明します。法令や職業規則が関係する箇所では公開されている出典を挙げているので、ご自身で読むことも、顧問に渡すこともできます。当社が行うのは管理策の実装と証拠の保管であり、法的な解釈は事務所自身の法務・コンプライアンス顧問の役割です。

香港の法律事務所のサイバーセキュリティが異なる理由

同じ規模の一般的なオフィスと比べて、法律事務所がIT面で異なる顧客となる理由は三つあります。

• 守秘は方針であるだけでなく、職業上の義務です。 香港律師会（Law Society of Hong Kong）が発行する事務弁護士職業行為指針には、守秘義務についての独立した章があります（第8章）。ファイルの漏えいは、顧客の問題であると同時に職業行為の問題でもあります。
• データは犯罪者にとって価値があります。 顧客の資金、決済日、取引書類があるため、法律事務所はメール詐欺の標的になります。犯罪者が事務所からのものに見える支払い指示を送る手口です。
• 記録は何年も保存しなければなりません。 律師会のマネーロンダリング対策ガイダンスでは、顧客デューデリジェンスの書類、記録、顧客ファイルを5年間保存すべきとされており、一部の案件ではより長い期間が定められています（律師会のマネーロンダリング対策 FAQ によれば、不動産譲渡は15年、賃貸借案件は7年）。保存期間が長いということは、古いファイルを利用可能な状態に保ちつつ、保護し続けなければならないということです。

念頭に置くべきルール

香港の法律事務所のITに最も関係する公開資料は次のとおりです。これは参照先の一覧であり、法的助言ではありません。

• 個人資料（プライバシー）条例（PDPO、第486章）、データ保護原則第4原則（DPP4）。 データ利用者は、個人データを無許可または偶発的なアクセスから守るため、実行可能な措置を講じなければなりません。DPP4(2) では、ITサービス事業者やクラウドサービスなどのデータ処理者に委託する場合、その処理者が扱うデータを契約その他の手段で保護しなければならないとされています。出典：香港電子法例（elegislation.gov.hk、第486章）の PDPO、および個人資料プライバシー・コミッショナー公署（PCPD）の解説資料。
• PCPD の「情報通信技術のデータセキュリティ対策に関するガイダンスノート」（2022年8月）。 義務ではなく推奨ですが、PCPD は遵守状況の評価にあたってこれを参照する場合があるとしています。ガバナンス、アクセス制御、ベンダー管理、クラウド、BYOD、携帯型デバイスを扱っています。出典：pcpd.org.hk。
• データ侵害の通知。 現行の PDPO では、データ侵害を PCPD に通知することは任意であり、PCPD は侵害対応に関するガイダンスを公表しています。改正が提案されている分野のため、最新の状況は顧問にご確認ください。
• 律師会の実務指針P（Practice Direction P）（マネーロンダリング及びテロ資金供与対策）。マネーロンダリング及びテロ資金供与対策条例（第615章）とあわせて、事務弁護士に求められる顧客デューデリジェンスと記録保存の水準を定めています。出典：hklawsoc.org.hk のマネーロンダリング対策資料。
• 事務弁護士職業行為指針 第8章（守秘義務）。 出典：hklawsoc.org.hk。

法律事務所のITセキュリティチェックリスト：IDとメール

1. すべてのアカウントに多要素認証

パートナーから研修生まで、すべてのユーザーが Microsoft 365 と文書管理システムに、パスワードだけでなく第二の要素（アプリでの承認やセキュリティキー）でサインインするようにします。さらに条件付きアクセスを追加します。これは、想定外の場所や管理されていない端末からのサインインをブロックするルールです。

• 残すべき証拠： 多要素認証が設定されていないユーザーのレポート（空であるべき）と、ポリシーのスクリーンショット。
• よくある抜け： 共有メールボックスや古いサービスアカウントが未設定のまま残っていること。保険会社が何を確認するかは、Microsoft 365 に関するサイバー保険の MFA 要件のガイドで説明しています。

2. 支払い詐欺から守られたメール

自社ドメインに DMARC、SPF、DKIM を設定し（他者が自社から送られたように見えるメールを送るのを防ぐ設定）、受信メールのなりすましをフィルタリングし、振込先口座の変更は必ず既知の番号に電話して確認するというルールを定めます。

• 残すべき証拠： DMARC レコードと、書面化した支払い確認手順。
• こうした詐欺の典型的な手口は、香港のメールセキュリティと取引先への支払い詐欺の記事をご覧ください。

法律事務所のITセキュリティチェックリスト：文書管理システムと端末

3. 文書管理システムのアクセス権を案件に合わせる

専用の文書管理システム、SharePoint、ファイルサーバーのいずれを使っていても、アクセス権は案件に従うべきです。その案件を担当する人は開けて、それ以外の人は開けないようにします。利益が相反しうる当事者を代理する場合は、情報障壁（チーム間のアクセス遮断）をメモだけでなくシステム自体に設定してください。

• 残すべき証拠： パートナーが署名した四半期ごとのアクセスレビューと、アクセス制限のある案件の一覧。
• よくある抜け： 事務所が小さかった頃から残っている「誰でも何でも見られる」フォルダーと、期限の切れない外部共有リンク。

4. 暗号化され管理された端末

顧客ファイルを開くすべてのノートPCと電話を暗号化し、端末管理（Microsoft Intune など）に登録し、最新の状態に保ち、リモートで消去できるようにします。メールに使う個人の電話は、個人データに触れずに消去できる業務用アプリに限定すべきです。

• 残すべき証拠： 暗号化とパッチの状態を示す端末コンプライアンスレポート。

5. 退職者は当日中に削除

事務弁護士、研修生、秘書が退職する際は、最終出勤日にアカウントを無効化し、端末を返却させて消去し、共有メールボックスと顧客ポータルへのアクセスを削除します。

• 残すべき証拠： 退職者ごとに署名した退職時チェックリスト。
• IT退職手続きとアクセス権の取り消しのガイドに、自社に合わせて使える手順の一覧があります。

法律事務所のITセキュリティチェックリスト：バックアップ、スキャン、ログ

6. 実際に復元したことのあるバックアップ

Microsoft 365 のメールとファイル、そして文書管理システムをバックアップし、変更も削除もできないコピー（イミュータブルなコピー）を少なくとも一つ保持し、四半期ごとに復元テストを行います。5年から15年の保存要件があるため、古い案件のファイルが今も開けることも確認してください。

• 残すべき証拠： 直近の復元テストの日付と結果。

7. 定期的な脆弱性スキャン

インターネットに公開しているシステムとオフィスのネットワークを、更新の直前だけでなく、計画的に既知の弱点についてスキャンします。保険会社に求められるまで放置するとどうなるかは、香港の法律事務所がサイバー保険の更新時に脆弱性スキャンで不合格になった事例の記事で紹介しています。マネージドスキャンの月額は、脆弱性スキャンの料金ページに掲載しています。

• 残すべき証拠： 最新のスキャンレポートと、それ以降に修正した指摘事項の一覧。

8. 保存されたログ

Microsoft 365 と文書管理システムのサインインログと監査ログを、インシデントが発覚した後でも調査できるだけの期間保存します。発覚は数週間後になることもよくあります。ライセンスを確認してください。一部の Microsoft 365 プランでは、既定のログ保存期間が事務所の想定より短くなっています。

• 残すべき証拠： 保存期間の設定と、アラートを確認する担当者。

法律事務所のITセキュリティチェックリスト：委託先との契約とサイバー保険の証拠

9. すべてのIT契約にデータ処理者条項

DPP4(2) があるため、顧客データを閲覧できるすべてのITサービス事業者、クラウドサービス、アウトソーシングのヘルプデスクとは、セキュリティ対策、守秘、データの保存場所、下請け業者、事務所への侵害報告、契約終了時のデータの返還または削除について、書面の条項を定めておくべきです。必要な条項は、香港のITアウトソーシングのための PDPO 遵守チェックリストにまとめています。

• 残すべき証拠： 署名済みの契約書と、どの委託先がどのデータにアクセスできるかの一覧。

10. 保険会社向けの証拠ファイル

更新時の質問票は「はい・いいえ」で答える形式ですが、引受担当者が証拠を求めることが増えています。項目1〜9の証拠を一つのフォルダーにまとめておきましょう。多要素認証のレポート、端末のコンプライアンス、バックアップのテスト、スキャンレポート、アクセスレビュー、退職時チェックリスト、委託先との契約です。よくある質問とそれに答えるレポートの対応は、Microsoft 365 の証拠でサイバー保険の質問票に答える方法のガイドで整理しています。

事務所のチェック方法と費用

十項目すべてを一度に直す必要はありません。まず、どれを満たしていないかを把握しましょう。

• Microsoft 365 セキュリティ監査。 読み取り専用のアクセスで、項目1、2、4、5、8の大部分を CIS の Microsoft 365 ベンチマークに照らして確認します。固定価格で、10ユーザーまでで US$450 からです。価格帯の全体は Microsoft 365 セキュリティ監査のページに掲載しています。レポートの内容は、香港での Microsoft 365 セキュリティ監査の記事で説明しています。
• より広範なIT評価。 Microsoft 365 に加え、ネットワーク、サーバー、バックアップ、委託先も対象にします。IT評価・監査サービスをご覧ください。
• 継続的な対応。 月額のマネージドITプランでは、これらのチェックのいくつかを定型業務として行います。監視とパッチ適用はすべてのプランに、エンドポイント保護、バックアップ、MFA ポリシーは Business 以上に、メールセキュリティと24時間の監視は Premium に含まれます。事務所での具体的な運用は、香港の法律事務所向けITサポートのページで説明しています。

多くの小規模事務所にとって最も安い順序は、まず監査を行い、不合格の項目を直し、それから修正した状態を維持するために月額プランが必要かどうかを判断することです。

典型的な最初の90日間

これはよくある進め方の例であり、実際の顧客事例ではありません。

• 1か月目： Microsoft 365 セキュリティ監査。多要素認証と DMARC を有効化。古いアカウントを削除。
• 2か月目： 文書管理システムのアクセスレビュー。端末の登録と暗号化。初回の脆弱性スキャン。
• 3か月目： バックアップの復元テスト。委託先との契約の見直し。更新前に保険用の証拠ファイルを整える。

よくある質問

法律事務所のITセキュリティチェックリストには何を含めるべきですか？

最低限、多要素認証、メール詐欺対策、案件ごとの文書アクセス、暗号化され管理された端末、退職者の当日削除、テスト済みのバックアップ、定期的な脆弱性スキャン、保存されたログ、IT委託先とのデータ処理者条項、保険会社向けの証拠ファイルです。

PDPO は法律事務所のIT委託先にも適用されますか？

法律事務所がデータ利用者であり、責任は事務所に残ります。DPP4(2) により、事務所はITサービス事業者などのデータ処理者が、扱う個人データを確実に保護するよう、契約その他の手段を講じなければなりません。自社の契約にどう当てはまるかは顧問にご確認ください。

香港ではデータ侵害を報告しなければなりませんか？

現行の PDPO では、PCPD への通知は任意であり、PCPD は侵害対応に関するガイダンスを公表しています。顧客に対する職業上の義務や保険契約によって、対応や通知が必要になる場合があります。顧問と保険会社にご確認ください。

法律事務所は記録をどのくらいの期間保存しなければなりませんか？

律師会のマネーロンダリング対策ガイダンスでは、顧客デューデリジェンスの書類、記録、顧客ファイルについて5年とされており、不動産譲渡は15年、賃貸借は7年など、一部の案件ではより長い期間が定められています。最新の数値は律師会の最新のマネーロンダリング対策ガイダンスでご確認ください。

サイバー保険会社は香港の法律事務所に何を求めますか？

一般的には、多要素認証、エンドポイント保護、オフラインまたはイミュータブルなコピーを含むバックアップ、パッチ適用、メールセキュリティです。また、「はい・いいえ」の回答ではなく、レポートやスキャン結果などの証拠を求めることが増えています。

法律事務所のサイバーセキュリティレビューの費用はいくらですか？

Microsoft 365 セキュリティ監査は、10ユーザーまでで US$450 からの固定価格です。より広範な評価は、事務所に合わせて範囲を定めます。

Brocent は当事務所の文書管理システムをサポートできますか？

当社はその周辺の端末、アカウント、ネットワーク、Microsoft 365 をサポートし、障害の原因が製品側にある場合は文書管理システムのベンダーと連携して対応します。

次のステップ

まずは固定価格の Microsoft 365 セキュリティ監査で、十のチェックのうちどれを満たしていないかを確認し、そのうえで当社の香港の法律事務所向けITサポートの内容をお読みください。