協力会社のセキュリティ状況｜建設会社が確認したい実務チェック項目

「協力会社に施工図面を渡していますが、その会社の情報管理は確認できていますか」

建設業では、元請会社、下請会社、専門工事会社、一人親方など、複数の事業者が施工情報を共有します。

施工図面、工程表、工事写真、見積書、施主に関する情報など、共有する資料はさまざまです。

しかし、協力会社がどのような端末を使い、誰がデータにアクセスでき、工事終了後に資料をどう扱っているかまでは、把握できていないことがあります。

そこで役立つのが、協力会社のセキュリティ状況を確認するチェック表です。

ただし、チェック表は協力会社に点数を付けるためだけのものではありません。実際の管理状況を知り、必要な改善を一緒に進めるための道具です。

この記事では、建設会社が協力会社へ確認したい項目と、回答を受けた後の対応を解説します。

1．協力会社のセキュリティ確認が必要な理由

建設工事では、元請会社から下請会社へ図面を渡し、必要に応じて専門工事会社や一人親方へ共有することがあります。

共有先が増えるほど、どこに資料が保存され、誰がアクセスできるのか把握しにくくなる場合があります。

例えば、協力会社のメールアカウントが不正利用され、元請から受け取った図面が外部へ送信される可能性があります。

また、クラウドの共有リンクが広く公開されていたり、工事終了後も閲覧権限が残っていたりすることも考えられます。

ただし、協力会社だから危険ということではありません。元請会社自身の管理状況も同じように重要です。

協力会社との確認は、相手を疑うためではなく、情報を安全に共有するための共通認識を作ることが目的です。

2．確認前に整理したい共有情報と業務範囲

すべての協力会社に同じ確認項目を求める必要があるとは限りません。

まず、その会社と何を共有しているかを整理しましょう。

例えば、限られた工区の施工図面だけを共有する協力会社と、施主の個人情報や重要な設計データまで扱う協力会社では、必要な管理条件が異なる場合があります。

共有する情報の重要性に応じて、確認する項目を調整することが実務的です。

3．チェック表の使い方と回答方法

チェック表を配布するときは、「できている」「できていない」だけで判断しないことが大切です。

例えば、次の四つの回答を用意すると、現状を把握しやすくなります。

回答の根拠を確認する場合も、すべての会社に同じ証明書や資料を求める必要はありません。

例えば、端末更新の管理方法を口頭で確認したり、必要に応じて管理画面の設定状況を確認したりする方法が考えられます。

ただし、パスワード、認証コード、個人端末の私的な情報など、確認に不要な機密情報を提出させないよう注意してください。

4．端末のセキュリティを確認する

協力会社が使用するパソコンやスマートフォンの管理は、基本的な確認項目です。

まず、業務に使う端末が把握されているかを確認しましょう。

確認したい質問

• 業務に使うパソコン・スマートフォンを把握していますか
• OSや業務用ソフトを適切に更新していますか
• 端末に画面ロックを設定していますか
• マルウェア対策など必要な保護を行っていますか
• 端末を紛失した場合の連絡先が決まっていますか
• 私物端末を業務利用する場合の条件がありますか

更新されていないソフトウェアや適切に保護されていない端末は、不正アクセスなどのリスクを高める可能性があります。

一方で、特定の対策製品を導入しているだけで安全が保証されるわけではありません。

実際に更新や管理が継続されているかを確認することが重要です。

5．アカウントとアクセス権限を確認する

次に確認したいのは、クラウドやメールなどのアカウント管理です。

例えば、複数の担当者が一つのアカウントを共有していると、誰がどの操作をしたのか確認しにくくなる場合があります。

また、退職した担当者のアカウントが残っていれば、不要なアクセスが可能な状態になるおそれがあります。

確認したい質問

• 担当者ごとにアカウントを管理していますか
• 重要なサービスで多要素認証を利用していますか
• 閲覧・編集権限を業務に必要な範囲へ限定していますか
• 退職・担当変更時に権限を見直していますか
• 共有リンクの公開範囲を確認していますか
• 外部共有の期限や解除手順を決めていますか

特に、元請から渡されたクラウドのアクセス権限は、工事終了後に見直すことが重要です。

設定可能な機能は、サービスや契約プランによって異なります。

6．図面・工事写真・見積書の保存と共有

建設業では、図面や工事写真などを日常的に共有します。

そのため、保存先と共有方法を確認することが重要です。

確認したい質問

• 施工図面の正式な保存先が決まっていますか
• 図面の版番号や更新日時を確認できますか
• 工事写真を保存する場所が決まっていますか
• 私用クラウドへの自動同期を確認していますか
• LINEやメールでの送付についてルールがありますか
• 元請の承認なく第三者へ再共有しないルールがありますか
• 工事終了後のデータ保存・削除条件を確認していますか

特に、図面の最新版管理は情報漏えい対策だけでなく、施工品質にも関わります。

古い図面を使ってしまうことを防ぐため、正式な保存先と承認手順を明確にしましょう。

7．クラウドサービスと外部委託先の管理

協力会社が独自のクラウドストレージや工程管理サービスを利用している場合、そのサービスへ元請の情報が保存される可能性があります。

そこで、利用しているサービスと共有設定を確認しましょう。

確認したい質問

• 業務で利用するクラウドサービスを把握していますか
• 元請の情報を保存してよいサービスを確認していますか
• 外部共有の設定を管理していますか
• サービス停止時の連絡先を把握していますか
• データを取り出す手順を確認していますか
• 再委託先へ情報を渡す条件を確認していますか

元請の契約条件によっては、利用できる保存先や再共有の範囲が制限される場合があります。

外部サービスの管理については、クラウドサービス・外部事業者のリスクも参考になります。

8．バックアップと業務停止への備え

協力会社の端末やクラウドサービスが使えなくなった場合、工事に必要な資料を確認できなくなる可能性があります。

そのため、重要データのバックアップと代替手順を確認しておきましょう。

確認したい質問

• 重要な業務データを把握していますか
• 必要なデータをバックアップしていますか
• バックアップから取り出せるか確認していますか
• クラウド停止中の連絡手段が決まっていますか
• 施工図面の最新版を確認する代替手順がありますか
• 復旧後にデータの整合性を確認する手順がありますか

ただし、元請から預かった機密情報を、契約で認められていない場所へ自由に複製してよいわけではありません。

バックアップの保存先についても、契約条件と社内ルールを確認してください。

また、バックアップを作成していても、実際に取り出せなければ業務継続に役立たない場合があります。

9．事故時の連絡先と報告手順

不審なログイン、端末の紛失、誤送信、マルウェア感染などが疑われた場合、協力会社から元請へ連絡できる体制が必要です。

原因の確定を待っている間に、被害が広がる可能性もあります。

確認したい質問

• 情報セキュリティ事故の社内連絡先が決まっていますか
• 元請への報告先を把握していますか
• 契約上の報告期限を確認していますか
• 初報で伝える情報を整理していますか
• 必要なログや記録を保全する手順がありますか
• 調査中の事実と未確認事項を区別して報告できますか

事故時は、確認できた事実、実施した対応、調査中の内容を分けて伝えることが重要です。

「不審なアクセスがあった」ことと「情報漏えいが確定した」ことは、必ずしも同じではありません。

緊急連絡の準備については、サイバー事故に備える緊急連絡体制の準備も参考になります。

10．社員・一人親方へのルール周知

情報管理のルールを作っても、実際に利用する担当者が知らなければ、現場で守ることは難しくなります。

そのため、協力会社の社員だけでなく、必要に応じて一人親方や再委託先にも、共有ルールが伝わっているか確認しましょう。

確認したい質問

• 図面や写真の共有ルールを担当者へ説明していますか
• 誤送信を防ぐための確認手順がありますか
• 不審なメールやリンクを受け取った場合の相談先がありますか
• 工事写真のSNS公開条件を確認していますか
• 新しい担当者へ必要なルールを伝えていますか
• 工事終了時のデータ取り扱いを説明していますか

研修を一度実施しただけで十分とは限りません。

新しい現場や共有方法の変更に合わせて、必要なルールを伝えることが重要です。

11．実務で使えるセキュリティ確認チェック表

ここまでの内容を、協力会社との確認に使いやすい表にまとめました。

回答欄には「実施済み・一部実施・未実施・該当なし」を記入し、必要に応じて改善内容を整理してください。

12．未対応項目の改善と確認結果の管理

チェック表で未対応項目が見つかっても、直ちに取引を中止するという判断が必要とは限りません。

まず、共有する情報の重要性と、未対応項目による影響を確認しましょう。

例えば、重要なクラウドアカウントで多要素認証を利用していない場合や、誰でも図面を閲覧できる共有リンクを利用している場合は、優先的な見直しが考えられます。

一方、利用していないサービスに関する項目であれば、該当なしと整理できる場合があります。

改善を進める手順

1. 未対応項目を整理する
2. 共有情報の重要性と影響を確認する
3. 優先的に改善する項目を決める
4. 実施する担当者と目安の期限を決める
5. 改善後の状況を確認する
6. 確認日と結果を記録する

改善が完了するまでの間は、共有する資料を限定する、アクセス権限を狭めるなど、状況に応じた暫定措置を検討できます。

確認結果は、必要な担当者だけが閲覧できる場所で管理しましょう。

協力会社から受け取った管理資料自体にも、機密情報が含まれる場合があります。

情報管理の基本対策については、中小企業のサイバー保険と実務対策も参考になります。

13．経営者向け最終確認と今日の一歩

最後に、協力会社のセキュリティ状況を確認する際の要点を整理します。

• □ 共有する情報の種類と重要性を把握している
• □ 確認する目的を協力会社へ説明している
• □ 端末の更新と画面ロックを確認している
• □ アカウントとアクセス権限を確認している
• □ 図面・工事写真の保存先を確認している
• □ クラウド共有リンクの設定を確認している
• □ バックアップと代替手順を確認している
• □ 事故時の報告先と連絡手順を確認している
• □ 一人親方や再委託先へのルール周知を確認している
• □ 未対応項目の改善手順を決めている
• □ 確認結果と見直し日を記録している

協力会社のセキュリティ確認は、相手を一方的に評価するためのものではありません。

元請会社も下請会社も、情報を安全に共有するための共通ルールを持つことが重要です。

「何を確認するか」「未対応ならどう改善するか」「いつ見直すか」を明確にする。

その積み重ねが、施工情報を守り、現場の混乱を減らし、取引先との信頼を維持することにつながります。