元請から求められる情報セキュリティ対策とは？建設会社の実務と確認事項

「情報セキュリティ対策について、確認票を提出してください」

元請会社から突然このような依頼が届いたら、何を確認すればよいでしょうか。

建設会社では、設計図面、CAD・BIMデータ、見積書、工程表、工事写真、協力会社の連絡先など、さまざまな情報を日常的に扱っています。

これらの情報が誤送信や不正アクセスで外部に流出したり、ランサムウェアによって利用できなくなったりすれば、自社だけでなく元請の業務にも影響する可能性があります。

そのため、取引先の情報管理状況を確認することは、建設業の取引関係において重要な課題です。

ただし、元請から要求される対策は、企業・案件・契約条件によって異なります。すべての下請会社に同じ対策や認証取得が義務付けられているわけではありません。

この記事では、一般的な情報セキュリティ対策と、個別の元請から求められる契約上の要求事項を区別しながら、中小建設会社が実行できる確認手順を解説します。

1．元請が情報セキュリティ対策を確認する理由

建設工事では、元請と下請会社の間で多くの情報がやり取りされます。

例えば、元請が作成した図面を下請会社へ渡し、下請会社が協力会社へ必要な部分を共有する場面があります。

このとき、情報を受け取った会社のパソコンやクラウドの管理が不十分であれば、元請が直接管理していない場所から情報が流出する可能性があります。

また、下請会社がサイバー攻撃を受け、施工図や工程表を確認できなくなれば、作業調整や工事の進行に影響することも考えられます。

そのため元請が取引先の管理状況を確認することには、情報漏えいの防止だけでなく、工事を継続できる体制を把握する意味もあります。

ただし、確認内容や対応義務は個別の契約によります。取引先から確認票が届いた場合は、その書類に記載された要求を優先して確認してください。

2．最初に確認したい契約書・仕様書・質問票

元請から「セキュリティ対策を実施してください」と言われても、何をどの水準まで実施するのかが分からなければ、適切に対応できません。

まずは次の資料を確認します。

• 基本取引契約書、秘密保持契約書
• 個別工事の契約書や仕様書
• 情報セキュリティに関する確認票・質問票
• 元請が配布している情報管理規程や運用マニュアル
• 事故発生時の連絡先と報告期限を定めた書類

特に重要なのは、「推奨事項」なのか「契約上の必須事項」なのかを分けることです。

例えば、多要素認証を推奨しているだけなのか、元請が指定したクラウド利用時に必須としているのかで、必要な対応は変わります。

要求が曖昧な場合は、元請の担当窓口へ対象システム、対象情報、実施期限、確認資料を質問しましょう。

3．元請から確認されやすい対策項目

以下は、取引先の情報管理状況を確認する際に考えられる代表的な項目です。すべての元請が要求しているという意味ではありません。

確認票の項目が多くても、まず自社で管理している情報とシステムを把握すると、回答しやすくなります。

4．図面・見積書・工事写真の管理ルール

建設会社が日常的に扱う情報の中でも、図面や見積書は特に共有先が増えやすい資料です。

例えば、現場担当者が自分の個人メールへ図面を送り、別の端末で確認する運用があると、会社が情報の保存先を把握しにくくなります。

また、共有リンクを「リンクを知っている全員が閲覧可能」に設定したままにすると、意図しない相手が資料を閲覧するリスクがあります。

会社では、次のようなルールを決めておきましょう。

• 図面や見積書の正式な保存先を決める
• 個人メールや私物端末への保存条件を明確にする
• 共有リンクの閲覧対象と有効期限を確認する
• 外部送信前に宛先と添付ファイルを確認する
• 工事終了後の保存・返却・削除条件を確認する

重要なのは、情報を共有できなくすることではなく、必要な相手へ安全に共有できる状態をつくることです。

5．アカウントとアクセス権限の管理

クラウドや工程管理システムを利用している会社では、誰がどの情報にアクセスできるかを確認する必要があります。

例えば、退職した社員のアカウントが残っていたり、工事が終了した協力会社が過去の資料を閲覧できたりする状態は、見直すべきリスクです。

次の項目を確認してください。

• 社員ごとに個別のアカウントを使用しているか
• 共用アカウントを必要以上に利用していないか
• 多要素認証を利用できるサービスでは有効にしているか
• 退職・異動・工事終了時に権限を見直しているか
• 管理者権限を必要な担当者に限定しているか

特に、工事が終了した際のアクセス権限の削除は、現場ごとの運用に組み込んでおくと確認しやすくなります。

6．パソコン・スマートフォンの基本対策

建設業では、事務所のパソコンだけでなく、現場のノートパソコンやスマートフォンも業務に使われます。

こうした端末からクラウドや社内システムに接続する場合、端末の管理状況が情報漏えいや不正アクセスのリスクに関係します。

まずは、次の基本事項を確認しましょう。

• OSや業務ソフトを更新しているか
• サポートが終了した端末やソフトを使っていないか
• 画面ロックを設定しているか
• 端末の紛失時に報告できる仕組みがあるか
• 業務データを私物端末へ保存する条件が決まっているか
• 必要に応じて端末の暗号化や遠隔管理を検討しているか

すべての対策を一度に導入する必要はありません。まず端末の台数、利用者、更新状況を把握することが出発点です。

7．協力会社との情報共有で注意すること

元請から受け取った情報を、さらに別の協力会社へ共有する場合には、契約上の制限を確認する必要があります。

例えば、元請の承諾なく第三者へ図面を再共有できない契約であれば、作業上必要だからといって自由に転送できるわけではありません。

また、共有を認められた場合でも、協力会社がどの情報を必要としているかを整理し、必要な範囲に限定することが重要です。

確認したいのは、再共有の可否、共有方法、閲覧できる担当者、工事終了後のデータの扱いです。

元請から求められる情報管理は、自社だけで完結しない場合があります。協力会社との連絡手順も含めて整理しましょう。

8．バックアップと復旧確認

図面や工程表のバックアップを取っていても、実際に復元できるか確認していなければ、事故時に使えるとは限りません。

ランサムウェアや端末故障によって重要データが使えなくなった場合、どの時点のデータまで戻せるかが工事の再開に影響します。

例えば、最新の施工図を復元できなければ、現場担当者が変更内容を確認できず、再調整が必要になる可能性があります。

会社では、次の点を確認します。

• 重要データの保存先を把握しているか
• バックアップを定期的に取得しているか
• バックアップへのアクセスを適切に制限しているか
• 元データと同時に被害を受けにくい保存方法を検討しているか
• 実際にファイルを復元するテストを行っているか

バックアップの有無だけでなく、復旧までの手順を確認することが大切です。

9．社員教育と現場での運用

情報セキュリティの規程を作成しても、現場で実行されなければ十分な効果は期待できません。

建設会社では、事務所勤務の社員と現場勤務の社員で、情報を扱う場面が異なります。

例えば、現場では工事写真をスマートフォンで撮影したり、図面を協力会社へ送信したりする機会があります。

そのため、社員教育は一般的な説明だけでなく、実際の業務に沿った内容にすることが重要です。

• メールやチャットでの誤送信防止
• 図面の共有先と閲覧権限の確認
• 不審なメールや添付ファイルへの対応
• 端末の紛失時の連絡先
• 工事終了後のデータ整理

短時間でも、現場で起こり得る具体例を使って繰り返し確認すると、実務につなげやすくなります。

10．事故発生時の連絡・報告体制

情報漏えいや不正アクセスが疑われた場合、元請への報告が必要になることがあります。

ただし、報告対象・期限・連絡先は契約や元請の指示によって異なります。すべての案件に共通する報告期限があると決めつけないでください。

事前に、次の事項を整理しておきましょう。

• 社内で最初に報告を受ける担当者
• 元請側の連絡窓口
• 契約上の報告対象と期限
• 事故が疑われた時点で記録する情報
• システム停止や情報流出時の業務継続手順

事故の原因が分かるまで何も連絡しない運用では、契約上の報告期限に間に合わない可能性があります。

事実が未確定の場合は、その時点で確認できている内容と調査中の事項を分けて伝えることが重要です。

社内の連絡体制を整理する際は、サイバー事故に備える緊急連絡体制の準備も参考になります。

11．セキュリティ質問票への正しい回答方法

元請から質問票が届いた際、最も避けたいのは、実施していない対策を「実施済み」と回答することです。

例えば、「多要素認証を導入していますか」という質問に対し、一部のサービスでしか利用していないのに、会社全体で導入済みと回答すると、実際の管理状況と食い違います。

回答時は、対象範囲と実施状況を具体的に整理しましょう。

対応途中の項目は、元請の質問票が許す形式に従い、「未実施」「一部実施」「対応予定」など、現状を正確に伝えます。

必要に応じて、実施予定時期や確認担当者を添えると、今後の対応を整理しやすくなります。

なお、セキュリティ対策の状況をクラウドサービスや外部事業者に依存している場合は、クラウドサービス・外部事業者のリスクも確認しておきましょう。

12．中小建設会社が取り組む優先順位

社員数が少ない会社では、専任の情報システム担当者を置けないこともあります。

その場合でも、まず何を守るかを決め、重要な対策から取り組むことができます。

優先順位1：元請の要求を確認する

契約書、仕様書、質問票を確認し、必須事項と推奨事項を分けます。

優先順位2：重要な情報と保存先を把握する

図面、見積書、工事写真、顧客情報などが、どこに保存されているかを確認します。

優先順位3：アクセス権限を見直す

退職者や工事終了後の協力会社が、今も情報を閲覧できないか確認します。

優先順位4：復旧と報告の手順を整える

バックアップから復元できるか、事故時に誰へ連絡するかを確認します。

優先順位5：不足している対策を計画的に改善する

未実施の項目を一覧にし、担当者と実施時期を決めます。

情報セキュリティ対策と事故時の備えを整理する際は、中小企業のサイバー保険と実務対策も参考になります。

ただし、保険への加入は元請の要求事項への対応や、情報セキュリティ対策そのものに代わるものではありません。補償の有無も契約内容や事故状況によって異なります。

13．経営者向けチェックリストと今日の一歩

最後に、元請から情報セキュリティ対策を確認された際のチェック項目をまとめます。

• □ 元請の契約書・仕様書・質問票を確認した
• □ 必須事項と推奨事項を区別できている
• □ 図面・見積書・工事写真の保存先が分かる
• □ 情報を共有する相手と方法が決まっている
• □ 退職者や工事終了者のアクセス権限を見直している
• □ パソコンやスマートフォンの更新状況を把握している
• □ 多要素認証の利用状況を確認している
• □ 重要データのバックアップと復元確認ができる
• □ 社員に情報の扱いと事故報告先を周知している
• □ 元請への事故報告条件を確認している
• □ 質問票には実際の実施状況を回答している
• □ 不足している対策の担当者と実施予定を決めている

元請の要求に対応することは、単に質問票を提出する作業ではありません。

自社が預かっている情報を把握し、必要な相手へ安全に共有し、事故が起きた場合にも適切に対応できる状態をつくることです。

中小建設会社でも、日々の業務に合った仕組みから整えていきましょう。