法律事務所のサイバーセキュリティ対策

公開日：2023.02.21｜

更新日：2023.12.27｜

執筆者：セキュリティ市場調査担当野下龍｜

なぜ法律事務所はセキュリティ対策を強化するべきか

法律事務所は、企業の財務情報や知的財産（intellectual property）、企業の合併、買収に携わる情報など機微な情報が集約されています。仮にランサムウェアなどの被害に遭った場合、取引先となる企業の情報漏洩が発生してしまうと大きな損害を与えてしまうでしょう。

法律事務所によっては企業秘密に当たる機微な情報を保有していないため、セキュリティ対策は不要と思われている方もいらっしゃるのでは無いでしょうか？

結論から申し上げると、そのような法律事務所でもセキュリティ対策は必須です。重要な情報かどうかは、サイバー攻撃者が決めることです。また、盗み取った情報を利用して新たに攻撃を仕掛ける「踏み台」に利用される恐れがあり、巻き込まれないためにはセキュリティ対策は必須です。

あまりインターネットに接続しないPC端末であっても、USBメモリなどを経由してマルウェアに感染してしまうケースもあります。そういった端末は感染していないと思い込みインターネットに接続した瞬間、情報が盗まれてしまうこともあるでしょう。

近年は依頼者とのやり取りがメールや電子文書が中心となっており、デジタルデータを取り扱うことが必須となっています。行政もIT化を進めているため、インターネットの接続は必須となりセキュリティ対策を考慮する必要があります。

サイバーセキュリティのトレーニングだけでは不十分？

2022年、アメリカ法曹協会の調査によると、100人を超える法律事務所では100％サイバーセキュリティに関するトレーニングを受けているとの結果を公開しています。しかしながら、サイバー攻撃の90％以上がフィッシングメールから始まり、97％以上のユーザが巧妙なフィッシングメールを認識できていないことが現状です*1。

近年のEmotetによる標的型メールは、トレーニング内容を遥かに超えています。ユーザ自身が送信した内容に対して関係のある内容を自然と送りつけてくるため、メールを開封させる技術が巧妙化してきていると言えるでしょう。つまり、フィッシングメールを認識するトレーニングの他に、セキュリティソリューションを導入することを推奨します。

多くの法律事務所でサイバーセキュリティの担当者が不在？

「The 2021 ABA Legal Technology Survey Report」によると、法律事務所内に専任の情報セキュリティ責任者は不足していると発表しています。セキュリティ責任者がいる法律事務所は、弁護士数100～499人規模で13％、500人以上の規模で16％と、一部の大規模事務所に限られています*2。

クライアント企業の重要な情報を持つ法律事務所は、組織専門のセキュリティ責任者を雇うべきですが、経済的な理由などで後回しになっていることが考えられます。