建設業の図面・施工情報漏えい｜CAD・BIMと発注者情報を守る対策

建設業の社長、自社で保管している施工図や建物の設備情報が、もし外部へ流出したら、どのような問題が起こるか考えたことはありますか？

建設業では、設計図面、CAD・BIMデータ、施工図、工事写真、発注者情報など、多くの重要な情報を扱います。これらは工事を進めるために必要ですが、すべてを社外へ自由に公開してよい情報とは限りません。

特に、建物の詳細な構造、設備配置、セキュリティ設備の情報、発注者の個人情報などは、流出した内容によっては、建物の安全管理や取引先との信頼関係に影響する可能性があります。

また、元請会社、下請会社、設計事務所、設備工事会社などが同じ図面を共有する建設業では、自社だけでなく、共有先の管理状況も重要です。

今回は、建設業で注意したい5つの情報漏えいリスクと、経営者が今日から確認できる具体的な対策を解説します。

建設業で守るべき情報とは

建設業では、工事の計画から完成・引渡しまで、多くの情報が作成され、関係者間で共有されます。

代表的なものは、設計図、施工図、CAD・BIMデータ、工事写真、施工記録、発注者の連絡先、工事契約書などです。

情報によって、守るべき理由は異なります。

すべての図面が同じ機密性を持つわけではありません。公開済みの資料と、特定の関係者だけが利用できる資料を区別し、情報の重要度に応じた管理を行うことが大切です。

CAD・BIMデータが漏えいするリスク

CADデータには建物の寸法や形状、設計上の詳細などが含まれます。BIMデータでは、建物の3次元形状に加え、部材や設備に関する属性情報などを扱う場合があります。

こうしたデータが外部へ流出すると、設計内容や設備仕様など、本来は関係者だけが把握すべき情報が第三者に知られる可能性があります。

例えば、建物の設備配置や詳細な構造情報が含まれている場合、情報の内容によっては安全管理上の懸念が生じることがあります。

ただし、CAD・BIMデータが流出したからといって、必ず建物への侵入や設備への攻撃が発生するわけではありません。実際の危険性は、含まれる情報、建物の用途、ほかの安全対策などによって異なります。

管理で確認したいこと

• CAD・BIMデータの保存場所を把握しているか
• 社外へ渡すデータの範囲を決めているか
• 編集権限と閲覧権限を分けているか
• 工事終了後の共有権限を見直しているか
• 重要データのバックアップを管理しているか

社長が確認したいこと：重要なCAD・BIMデータを、現在誰が閲覧・ダウンロードできるか把握していますか。

施工図・工事写真・施工記録の流出

施工図には、設計図をもとに具体化した施工方法や寸法、設備の納まりなどが記載されます。工事写真や施工記録には、工事の進捗、品質確認、施工途中の状況などが残されます。

これらは工事の品質を確保し、発注者への報告や完成後の確認を行うために重要な資料です。

しかし、施工図や写真には、一般には公開していない建物内部の情報や施工方法が含まれる場合があります。

例えば、施工途中の設備配管、電気設備、機械室などが写った写真を、公開範囲を確認せずに外部へ共有すると、意図しない情報流出につながる可能性があります。

特に、施工写真を個人のスマートフォンで撮影し、私用のクラウドサービスへ自動保存している場合は、会社が保管先や共有状況を把握しにくくなることがあります。

• 工事写真の撮影・保存ルールを定める
• 個人端末からの自動クラウド保存を確認する
• 社外への写真提供は必要な範囲に限定する
• 図面や施工記録の共有先を定期的に見直す
• 工事完了後の保存・返却・削除条件を確認する

建物の構造・設備情報が流出する影響

建物の設計・施工情報には、構造や設備に関する詳細な内容が含まれることがあります。

例えば、機械室、電気設備、通信設備、入退室管理設備などの配置情報です。

こうした情報が漏えいした場合、建物の用途や設備の重要度によっては、安全管理や施設運営の観点から対応が必要になることがあります。

特に、病院、物流施設、工場、データセンターなど、設備の安定稼働が重要な建物では、詳細な設備情報の取り扱いに注意が必要です。

ただし、情報流出が直ちに施設の安全性を損なうと断定することはできません。実際の影響は、流出した情報の内容や施設側の管理状況によって判断する必要があります。

社長が確認したいこと：発注者から預かった図面のうち、特に共有範囲を限定すべき資料を区別していますか。

発注者・顧客情報の漏えいリスク

建設業では、個人住宅の施主、法人の発注担当者、施設管理者などの氏名、住所、電話番号、メールアドレス、契約内容などを扱います。

これらの情報が漏えいすると、迷惑連絡やなりすましなどの被害につながる可能性があり、発注者との信頼関係にも影響します。

個人情報に該当する情報については、個人情報保護法に基づく対応が必要になる場合があります。

例えば、個人データの漏えい等について、法令で定められた報告対象事態に該当する場合は、個人情報保護委員会への報告や本人への通知が必要です。

ただし、情報漏えいが疑われた場合に、すべての事案で同じ報告義務が生じるわけではありません。情報の種類、漏えいの状況、対象者などを確認し、必要に応じて専門家へ相談してください。

また、法人の情報であっても、担当者個人を識別できる情報は個人情報に該当する場合があります。

機密保持義務と契約上の責任

建設工事では、発注者や元請会社との契約で、図面や技術資料などの機密保持が求められる場合があります。

また、設計事務所や協力会社との間で、秘密保持契約を締結していることもあります。

機密情報が外部へ流出した場合、契約上の義務違反や損害賠償が問題になる可能性があります。

ただし、情報が流出したという事実だけで、直ちに損害賠償責任が確定するわけではありません。契約内容、管理状況、原因、損害、因果関係などを確認する必要があります。

契約書で確認したい項目

• 機密情報として定義されている範囲
• 情報を共有できる相手と目的
• 再委託先や協力会社への提供条件
• 事故発生時の通知義務と期限
• 契約終了後の返却・削除・保存条件
• 違反時の責任や損害賠償に関する条項

社長が確認したいこと：元請会社や発注者から受け取った図面について、契約上どこまで共有が認められているか把握していますか。

協力会社・クラウド共有の管理

建設業では、元請会社、下請会社、設計事務所、設備工事会社などが、クラウドストレージや施工管理サービスを使って情報を共有することがあります。

情報共有そのものが問題なのではありません。必要以上に広いアクセス権限を与えたり、工事終了後も共有設定を残したりすることがリスクになります。

例えば、工事が完了した協力会社の担当者が、別の工事の図面まで閲覧できる状態になっていれば、不要な情報アクセスが可能になってしまいます。

また、共有リンクを知っていれば誰でも閲覧できる設定では、リンクの転送によって意図しない第三者へ情報が渡る可能性があります。

• 工事単位で共有フォルダを分ける
• 担当業務に必要な情報だけを共有する
• 共有リンクの公開範囲を限定する
• 多要素認証を利用する
• ダウンロードや編集権限を必要に応じて制限する
• 工事終了時に不要な権限を削除する
• 重要な資料のアクセス履歴を確認できるようにする

協力会社との関係では、相手を一方的に責めるのではなく、情報の共有範囲と事故時の連絡手順を事前に決めておくことが重要です。

経営者が確認したい7つの対策

建設業の情報漏えい対策では、高額なシステムを導入する前に、まず現在の情報管理状況を把握することが重要です。

次の7項目を、工事責任者や情報システム担当者と確認してみてください。

1. 保存場所：重要なCAD・BIMデータや施工図をどこに保存しているか把握する
2. 共有先：発注者、元請会社、協力会社のうち、誰が閲覧できるか確認する
3. アクセス権限：閲覧・編集・ダウンロードの権限を必要な範囲に限定する
4. 現場端末：スマートフォンやタブレットの紛失対策と保存ルールを確認する
5. 契約条件：秘密保持契約や工事請負契約の情報管理条項を確認する
6. 工事終了後：不要なアカウントや共有権限を削除する
7. 事故対応：情報漏えいが疑われた場合の報告先と初動手順を決める

すべてを一度に整える必要はありません。

まずは現在進行中の工事を一つ選び、重要な図面がどこに保存され、誰がアクセスできるかを確認することから始められます。

漏えいが疑われた場合の初動対応

万が一、図面や発注者情報の漏えいが疑われた場合は、慌ててデータを削除したり、原因を確認せずに関係者へ断定的な説明をしたりしないことが重要です。

まずは状況を整理し、被害拡大の防止と事実確認を進めます。

1. 社内報告：情報管理責任者や経営者へ速やかに報告する
2. 拡大防止：不正な共有リンクやアカウントの利用を、必要な証拠を保全しながら制限する
3. 対象情報の確認：どの図面、施工情報、個人情報が影響を受けたか調査する
4. 契約条件の確認：発注者や元請会社への通知義務を確認する
5. 法令対応：個人情報保護法上の報告・通知が必要か判断する
6. 専門家への相談：必要に応じて情報セキュリティや法律の専門家へ相談する
7. 再発防止：共有権限、認証、端末管理などの問題を改善する

不正アクセスの疑いがある場合は、ログなどの証拠を保全し、専門家の助言を得ながら対応することが望まれます。事故の内容によっては、個人情報保護委員会などへの報告期限にも注意が必要です。

サイバー保険と事業継続の確認ポイント

情報漏えいが発生した場合、原因調査、専門家への相談、関係者への通知、システム復旧などに費用が発生することがあります。

サイバー保険では、契約内容によって、こうした費用や法律上の賠償責任が補償対象になる場合があります。

一方、機密情報の流出による信用低下、将来の受注機会の喪失、契約上の違約金などが、必ず補償されるわけではありません。

確認したい項目は次のとおりです。

• 情報漏えいの原因調査費用が対象か
• 個人情報漏えいと企業の機密情報漏えいの扱いはどう異なるか
• 発注者や元請会社に対する法律上の賠償責任が対象か
• 契約上の違約金や信用低下による損失は対象か
• 委託先やクラウドサービスを通じた事故が対象か
• 自己負担額、補償限度額、事故通知や事前承認の条件は何か

実際の補償内容や支払条件は、商品、約款、特約、事故状況によって異なります。加入している場合は、保険証券や約款を確認し、不明な点を保険会社や代理店へ相談してください。

まとめ｜重要な図面の共有先を確認する

建設業の情報漏えいは、個人情報だけの問題ではありません。CAD・BIMデータ、施工図、建物の設備情報などが流出すると、発注者との信頼関係や契約上の責任に影響する可能性があります。

重要なのは、すべての情報を同じように扱うのではなく、機密性に応じて保存場所や共有範囲を管理することです。

まずは工事責任者に「現在進行中の工事で、重要な施工図を誰が閲覧・ダウンロードできますか？」と聞いてみてください。

その答えを確認することが、情報漏えいを防ぐための第一歩になります。

関連記事

• 中小企業のサイバー保険｜補償と実務の確認ガイド
• サイバー保険の比較｜補償内容を確認するポイント
• サイバーBCP｜事業継続と復旧訓練の考え方

※本記事は一般的な情報提供を目的としています。情報漏えい時の法令上・契約上の対応や保険金の支払可否は、個別の状況と契約条件によって異なります。