ヤマト運輸の情報漏えい報道に学ぶ建設会社の顧客情報管理と事故対応

建設会社の社長、顧客の名前や住所、工事現場の所在地、担当者の電話番号を、社内でどのように管理していますか。

配送会社の情報漏えいが話題になると、顧客情報を大量に扱う大企業だけの問題に感じるかもしれません。しかし、建設会社にも顧客台帳、見積書、工事契約書、現場写真、協力会社の連絡先など、守るべき情報があります。

今回は「ヤマト運輸・情報漏えい」というテーマをきっかけに、建設会社が顧客情報の管理と事故対応を見直すための実務を整理します。なお、ヤマト運輸の特定の漏えい事案について、発生日・原因・被害件数などを確認した記事ではありません。同社に関する未確認の事実は扱いません。

最後まで読むと、自社の情報管理で確認したい項目と、万一の際に最初に行うべき対応が分かります。

1. 情報漏えいを建設会社が考える理由

顧客情報の漏えいは、IT企業や通販会社だけの問題ではありません。

建設会社では、工事の見積り、契約、施工、アフターサービスまで、顧客の個人情報や取引先情報を継続的に扱います。

情報が社外に流出すると、対象となる顧客への説明、事実関係の調査、再発防止、場合によっては行政への報告などが必要になります。

情報漏えいの影響は、データそのものだけではありません。顧客との信頼関係や、取引先との仕事にも影響する可能性があります。

大切なのは、他社のニュースを見て不安になることではなく、自社の情報管理を一つずつ確認することです。

2. 建設会社が保管する顧客情報

まず、社内にどのような情報があるかを確認しましょう。

• 個人顧客の氏名、住所、電話番号、メールアドレス
• 工事契約書、見積書、請求書
• 住宅や建物の所在地、図面、現場写真
• 施主との打ち合わせ記録
• 取引先担当者の連絡先
• 協力会社の担当者情報
• 従業員の人事・給与・健康に関する情報

これらすべてが同じ法的分類になるわけではありません。個人を識別できる情報か、個人データに該当するか、企業の機密情報かによって必要な対応が異なります。

例えば、住宅の図面だけでは個人情報に該当しない場合でも、施主名や住所と結び付くことで個人情報になることがあります。

また、法人の見積情報や工事原価は、個人情報に該当しなくても重要な営業秘密となり得ます。

3. 情報が漏れる主な経路

情報漏えいは、サイバー攻撃だけで発生するものではありません。

• メールの誤送信：宛先や添付ファイルを間違える
• クラウド共有の設定ミス：意図しない相手がファイルを閲覧できる
• 端末の紛失：ノートパソコンやスマートフォンを紛失する
• 不正アクセス：盗まれた認証情報などを悪用される
• 委託先の事故：情報を預けた外部事業者で事故が起きる
• 紙書類の管理不足：顧客台帳や契約書を紛失する

事故の原因によって必要な対応は異なります。まずは、自社で起こりやすい経路を把握することが重要です。

4. 顧客情報の保管場所を把握する

社長が最初に確認したいのは、「顧客情報がどこにあるのか」です。

顧客台帳は営業管理システム、見積書は共有フォルダ、現場写真はクラウド、連絡先は社員のスマートフォンというように、情報が分散している会社もあります。

管理台帳には、少なくとも次の項目を記録すると役立ちます。

• 情報の種類
• 保管場所・利用サービス
• 管理責任者
• アクセスできる社員や委託先
• 保存期間・削除ルール
• バックアップの有無

すべての情報を一度に整理する必要はありません。まずは顧客台帳、契約書、見積書など重要な情報から確認してください。

5. 社員のアクセス権限を管理する

顧客情報を守るには、必要な社員だけが必要な情報を扱える状態にすることが基本です。

• 営業担当者が全顧客情報を一括で持ち出せる状態になっていないか
• 退職した社員のアカウントが残っていないか
• 複数の社員で同じIDを使っていないか
• 管理者権限が必要以上に付与されていないか
• 重要なシステムで多要素認証を利用しているか

退職時には、会社のシステムだけでなく、クラウド共有、メール、施工管理アプリなどの権限も確認しましょう。

6. 協力会社・委託先の管理

建設会社では、協力会社、システム保守会社、クラウド事業者など、多くの外部事業者と情報を共有します。

委託先に情報を預けている場合も、委託元として安全管理状況を確認することが重要です。

次の事項を確認してください。

• 委託先へ渡している情報の種類と範囲
• 委託先でのアクセス権限
• 再委託の有無と管理方法
• 事故発生時の連絡先と通知期限
• 契約終了時の情報返却・削除方法
• 情報漏えい時の調査協力と責任分担

委託先の管理を考える際は、関連記事「クラウド事業者のリスクと企業が確認したいこと」も参考にしてください。

7. メール・クラウド・端末の対策

日常業務の中で、比較的取り組みやすい対策もあります。

• 重要なメールは送信前に宛先と添付ファイルを確認する
• クラウドの共有リンクを必要な相手だけに制限する
• 共有期限や閲覧権限を設定する
• パソコンやスマートフォンに画面ロックを設定する
• 可能な機器では保存データを暗号化する
• ソフトウェアやOSの更新を継続する
• 重要データのバックアップを取得し、復元できるか確認する

特に、見積書や図面をメールで送る際は、宛先だけでなく、添付したファイルの中身も確認しましょう。

8. 漏えいを疑った直後の対応

顧客情報の漏えいが疑われた場合、最初に必要なのは事実確認と被害拡大の防止です。

1. 発見日時、発見者、異常の内容を記録する
2. 社内の責任者とIT管理者へ連絡する
3. 不正アクセスが疑われる場合は専門家と接続制限・隔離を検討する
4. メール、操作ログ、端末などの証拠を保全する
5. 漏えいした可能性のある情報と対象者を調査する
6. 法令上の報告・本人通知が必要か確認する
7. 顧客・取引先への説明と再発防止策を検討する

原因が分からない段階で不用意に端末を初期化したり、ログを削除したりすると、調査が難しくなる場合があります。

事故時の連絡体制については、関連記事「サイバー事故の緊急連絡先を事前に準備する重要性」も参考になります。

9. 法令上の報告と本人通知

個人データの漏えい等が発生した場合、すべての事故で行政への報告が義務になるわけではありません。ただし、個人情報保護法上の報告対象事態に該当する場合は、個人情報保護委員会への報告と本人への通知が原則として必要です。

報告対象には、要配慮個人情報を含む事態、財産的被害のおそれがある事態、不正の目的で行われたおそれがある事態、本人の数が1,000人を超える事態などがあります。漏えいが確定していなくても、該当するおそれがある場合は確認が必要です。

報告対象事態では、速報は事態を知ってから速やかに、目安として概ね3～5日以内。確報は原則30日以内ですが、不正の目的で行われたおそれがある事態は60日以内です。

本人への通知も、事態の状況に応じて速やかに行う必要があります。通知が困難な場合には、一定の条件で代替措置が認められることがあります。

委託先で事故が発生した場合は、委託元と委託先の報告義務や通知方法も確認が必要です。

正確な判断は、個人情報保護委員会「漏えい等の対応とお役立ち資料」と個人情報保護法ガイドライン（通則編）を確認し、必要に応じて専門家に相談してください。

10. 顧客・取引先への説明

情報漏えいの可能性が判明した際は、顧客への説明も重要になります。

ただし、調査前に「被害はありません」「情報は流出していません」と断定することは避けるべきです。

説明では、判明した事実と調査中の事項を分けて伝えましょう。

• 何が発生したのか
• どの情報が影響を受けた可能性があるか
• 現在どのような調査・対策を進めているか
• 顧客自身に注意してほしいことがあるか
• 問い合わせ先はどこか
• 追加情報をいつ、どのように知らせるか

社内で説明内容を統一し、担当者ごとに異なる情報を伝えないことも大切です。

11. 復旧と再発防止

事故対応は、システムが復旧すれば終わりではありません。

原因を確認し、同じ事故が起きないようにする必要があります。

• 漏えい原因と影響範囲を確認する
• 不要なアカウントや共有設定を見直す
• 必要な更新や設定変更を実施する
• 委託先との連絡・管理ルールを改善する
• 社員へ具体的な注意事項を共有する
• 事故対応手順を見直す
• 再発防止策の実施状況を確認する

再発防止策は、作成して終わりにせず、責任者と期限を決めて実施状況を確認することが重要です。

12. サイバー保険で確認すること

情報漏えい事故では、原因調査、専門家への相談、顧客への通知、問い合わせ対応、システム復旧などの費用が発生する場合があります。

サイバー保険では、契約内容と事故の状況に応じて、これらの費用が補償対象となる場合があります。

ただし、すべての事故や費用が補償されるわけではありません。委託先で発生した事故の取扱い、免責事項、支払限度額、事故時の連絡手順などを確認する必要があります。

基本的な補償の考え方は、関連記事「中小企業が知るべきサイバー保険の全貌と実務ポイント」でも解説しています。

13. 社長が今日できるチェックリスト

• □ 顧客情報の保管場所を把握している
• □ 顧客情報の管理責任者が決まっている
• □ 退職者のアクセス権限を削除している
• □ クラウド共有の設定を確認している
• □ 顧客情報を渡している委託先を把握している
• □ 委託先で事故が起きた場合の連絡方法が決まっている
• □ 情報漏えいを発見した社員の報告先が決まっている
• □ 操作ログなどの記録を保全できる
• □ 行政への報告・本人通知の要否を判断する体制がある
• □ 顧客への説明責任者が決まっている

顧客情報を守るために、最初から高額なシステムを導入する必要があるとは限りません。

まずは、「顧客台帳はどこに保存され、誰が閲覧・持ち出しできるのか」を確認してください。

情報の所在と管理責任を把握することが、事故の予防にも、万一の際の迅速な対応にもつながります。

今日の一歩：顧客台帳の保管場所とアクセスできる社員を確認する。

【参考資料】個人情報保護委員会：漏えい等の対応とお役立ち資料／個人情報保護法ガイドライン（通則編）／IPA：中小企業の情報セキュリティ対策ガイドライン