下請会社へのサイバー攻撃で元請工事は止まる？影響と対策を解説

「下請会社がサイバー攻撃を受けた。でも、うちの会社は大丈夫だろう」

建設会社の社長が、そう考えてしまうことはないでしょうか。

建設工事は、元請会社だけで完結する仕事ではありません。専門工事会社、設備会社、資材業者、設計事務所など、多くの企業が連携して一つの工事を進めています。

そのため、下請会社のシステムが停止すると、元請会社のパソコンが正常でも、施工図の受け渡し、工程調整、資材発注、検査資料の準備などに影響する可能性があります。

サイバー事故は、被害を受けた会社だけの問題とは限りません。

この記事では、下請会社へのサイバー攻撃が元請工事に与える影響と、社長が確認しておきたい備えを具体的に解説します。

※以下は一般的なリスクと対応例です。特定の工事や企業で実際に被害が発生したことを示すものではありません。契約上の責任や報告義務は、個別の契約内容と事実関係に基づいて判断する必要があります。

1. 下請会社の事故が元請へ波及する理由

建設業では、一つの現場に複数の会社が関わります。

例えば、元請会社が全体工程を管理し、設備会社が施工図を作成し、電気工事会社が配線工事を担当し、資材業者が必要な材料を納入する場合です。

このうち設備会社がランサムウェアの被害を受け、図面や工程資料を利用できなくなったとします。

元請会社のシステムが正常でも、設備図面の確認や工程調整ができず、関連工事に影響が出る可能性があります。

これが、取引先を通じて業務に影響が及ぶサプライチェーンリスクの一例です。

ただし、下請会社が攻撃を受けたからといって、すべての元請工事が停止するわけではありません。影響の大きさは、担当工事、共有データ、代替手段、復旧見込みなどによって異なります。

2. 図面や施工データが使えなくなる影響

下請会社が施工図やCAD・BIMデータを管理している場合、その会社のシステム停止によって、必要な図面の確認や修正が難しくなることがあります。

例えば、設備工事会社が保有する最新の施工図を元請へ送れない場合です。

元請が以前受け取った図面を持っていても、その後の設計変更が反映されていない可能性があります。

古い図面をそのまま使えば、施工ミスや手戻りにつながるおそれがあります。

代替図面があっても、版数と承認状況を確認するまでは、現場で使用してよいとは限りません。

3. 工程管理・現場連絡への影響

下請会社が利用するメール、工程管理システム、チャットなどが停止すると、現場との連絡が難しくなる場合があります。

作業員の配置変更、施工日程の調整、検査立会いなどが遅れれば、ほかの工種にも影響が及ぶ可能性があります。

例えば、設備工事の完了を待って内装工事へ進む工程では、設備工事の遅れが後続作業に影響することがあります。

一方、別の作業を先行できる場合もあるため、現場監督が工程上の依存関係を確認することが重要です。

サイバー事故が起きた場合に備え、通常のメールやクラウドが利用できないときの連絡手段も決めておきましょう。

4. 資材調達・納期への影響

下請会社や資材業者のシステムが停止すると、発注情報、在庫確認、納期調整などに影響する場合があります。

例えば、発注済みの資材について、数量や納入日を確認できなくなるケースです。

資材が現場へ届かなければ、予定していた作業を進められない可能性があります。

そのため、元請会社は次の情報を確認できるようにしておくことが重要です。

• 発注済み資材の品目と数量
• 納入予定日と納入場所
• 発注書・承認済み仕様書の控え
• 代替調達の可否
• 納期変更が後続工程に与える影響

代替業者への切り替えが必要な場合も、品質、仕様、契約条件、納期を確認したうえで判断する必要があります。

5. 情報漏えいが疑われる場合の影響

サイバー攻撃では、システム停止だけでなく、図面や顧客情報などの外部流出が疑われる場合もあります。

ただし、下請会社が攻撃を受けたことと、元請から渡した情報が実際に流出したことは別です。

まず、下請会社に共有していた情報の種類と範囲を確認します。

• 設計図・施工図
• 設備配置などが分かる技術資料
• 見積書・契約関連資料
• 担当者の連絡先
• 現場写真や検査資料

そのうえで、アクセス記録や調査結果などを確認し、漏えいの有無や範囲を判断します。

個人データの漏えい等が疑われる場合には、個人情報保護委員会への報告や本人通知が必要となる場合があります。対象や要件は個別に確認してください。

6. 元請が最初に確認すること

下請会社からサイバー事故の連絡が入ったら、元請会社は自社工事への影響を整理します。

下請会社の技術的な復旧作業と、元請の工程管理上の対応は、分けて考えることが重要です。

事故原因や復旧日が分からない段階で、無理に断定する必要はありません。

確認できた事実と未確認の事項を区別し、記録に残すことが大切です。

連絡体制の準備については、サイバー事故の緊急連絡先を事前に準備する重要性も参考になります。

7. 工事を継続するか判断する基準

下請会社がサイバー攻撃を受けても、元請工事をすべて停止する必要があるとは限りません。

ただし、安全性や施工品質を確認できない作業は、無理に進めない判断が重要です。

現場では、次の三つを確認します。

1. 施工に必要な承認済み図面・仕様書があるか
2. 安全管理と品質確認を実施できるか
3. 後続工程やほかの協力会社に影響がないか

これらを現場監督、工事責任者、必要に応じて設計者や元請の関係部署で確認します。

代替資料を使う場合も、最新版かどうか、正式に使用できるものかを確認してください。

8. 下請・元請間の連絡ルール

サイバー事故が起きた際、連絡が遅れると、工程の調整や情報の保護が難しくなる可能性があります。

そこで、平常時から連絡ルールを決めておくことが有効です。

• どのような事故を報告対象とするか
• 発見後、いつまでに初報を入れるか
• 元請・下請それぞれの連絡責任者は誰か
• メールが使えない場合は何で連絡するか
• 初報で最低限伝える事項は何か
• 状況報告をどの頻度で更新するか

初報の段階では、原因が確定していないこともあります。

「現在確認できていること」「まだ分からないこと」「次回連絡予定」を整理して共有する運用が役立ちます。

9. 契約書で確認したい事項

下請会社との契約では、工事の内容や金額だけでなく、情報管理に関する取り決めも確認したいところです。

例えば、次の項目です。

ただし、契約書に条項を入れれば、事故時の責任が自動的に決まるわけではありません。

責任の有無や範囲は、契約内容、事故原因、当事者の管理状況などによって異なります。

具体的な契約条項は、必要に応じて法律の専門家に確認してください。

10. 代替手段と復旧優先順位

下請会社のシステムが停止した場合に備え、元請側でも代替手段を考えておくことが重要です。

例えば、承認済み図面の安全な控えを保管する、電話連絡先を別に管理する、発注済み資材の一覧を確認できるようにする、といった方法です。

ただし、代替手段は情報の安全性と契約条件を確認して利用する必要があります。

実際の優先順位は、現場の安全性、契約条件、工期、代替手段の有無に応じて判断します。

11. 平常時に行う協力会社のリスク確認

下請会社に対して、最初から複雑なセキュリティ調査を求める必要はありません。

まずは、元請工事への影響が大きい取引先から、実務上の確認を進めることが考えられます。

• 重要な図面や技術情報をどこに保存しているか
• バックアップを取得しているか
• 事故発生時の連絡責任者が決まっているか
• メールやクラウドが停止した場合の代替連絡手段があるか
• 図面を再下請へ渡す場合のルールがあるか
• 工事終了後の資料の返却・削除・保存が決まっているか

取引先の管理状況を確認する際は、相手の規模や業務内容に配慮し、必要な範囲から始めることが大切です。

クラウドなどの外部サービスを利用する場合は、クラウド事業者のリスクと企業が確認したいことも参考になります。

12. 損害賠償・サイバー保険の注意点

下請会社へのサイバー攻撃によって元請工事が遅れた場合、追加費用や契約上の問題が生じる可能性があります。

しかし、下請会社が攻撃を受けたという事実だけで、損害賠償責任が自動的に発生するわけではありません。

事故原因、契約内容、責任分担、損害との因果関係などを確認する必要があります。

また、サイバー保険の補償範囲は契約によって異なります。

自社が直接サイバー攻撃を受けた場合と、取引先のシステム停止によって自社の業務に影響が出た場合では、補償条件が異なることがあります。

下請会社の事故による工事遅延、追加費用、利益損失などが必ず補償されるわけではありません。

事故が発生した場合は、保険会社への通知条件や、専門家の手配条件なども確認しましょう。

サイバー保険の基本的な確認事項は、中小企業が知るべきサイバー保険の全貌と実務ポイントでも解説しています。

13. 社長向けチェックリストと今日の一歩

下請会社のサイバー事故が元請工事に影響する事態に備えて、次の項目を確認してみてください。

• □ 工程への影響が大きい下請会社を把握している
• □ 重要な図面を保有する会社を把握している
• □ 下請会社が停止した場合の影響を現場単位で確認できる
• □ 承認済み図面の安全な控えがある
• □ 資材発注情報や納入予定を確認できる
• □ メールが使えない場合の連絡先がある
• □ サイバー事故発生時の報告ルールが決まっている
• □ 再下請への図面共有条件を確認している
• □ 代替手段と工程の優先順位を考えている
• □ 元請契約・下請契約の情報管理条件を確認している
• □ 取引先事故による損失が保険対象か確認している

建設会社のサイバー対策は、自社のパソコンを守ることだけではありません。

協力会社との連携を保ち、事故が起きても工事への影響を小さくする準備が重要です。

公的・公式参考情報

• IPA｜中小企業の情報セキュリティ対策ガイドライン
• IPA｜情報セキュリティ関連情報
• 経済産業省｜公式サイト
• 個人情報保護委員会｜公式サイト