建設キャリアアップ関連情報の安全管理と情報漏えい防止対策

「建設キャリアアップシステムに関連する技能者情報、誰が閲覧できるか把握していますか？」

建設業では、建設キャリアアップシステム（CCUS）を利用して、技能者の資格や就業履歴などを登録・管理する取り組みが進められています。元請会社と協力会社が連携する現場では、必要な情報を確認できる便利な仕組みです。

一方、CCUSに関連する業務では、技能者の氏名や所属事業者、保有資格、就業履歴など、個人に関わる情報を取り扱います。こうした情報をダウンロードしたり、別の管理表に転記したりする場合は、システム上の権限設定だけでなく、社内での保存や共有にも注意が必要です。

例えば、技能者情報を含むExcelファイルを誤った宛先へ送信したり、退職した担当者のアカウントを放置したりすると、情報が本来の利用目的を超えて閲覧されるおそれがあります。

この記事では、CCUSに関連する情報を扱う際に確認したい安全管理の基本と、元請会社・協力会社が実践できる対策を整理します。

1．建設キャリアアップシステムとは

建設キャリアアップシステム（CCUS）は、建設技能者の資格や就業履歴などを登録・蓄積し、技能や経験を適切に評価するための仕組みです。技能者と事業者の情報を登録し、現場での就業履歴を蓄積することができます。

元請会社や協力会社にとっては、現場で働く技能者の情報を確認する機会が増える一方、登録情報を適切に取り扱う責任も重要になります。

なお、CCUSの公式システムに保存される情報と、各建設会社が独自に作成・保管する名簿や帳票は、管理主体や設定が異なります。自社でどこまで情報を保管しているかを確認することが、安全管理の出発点です。

2．関連業務で取り扱う情報の種類

CCUSに関連する業務では、技能者の基本情報や保有資格、就業履歴などを確認することがあります。ただし、実際に閲覧・取得できる情報は、利用者の権限やシステムの仕様、業務上の取り扱いによって異なります。

また、CCUSの登録情報とは別に、会社が現場管理のために連絡先や作業員名簿を保存している場合もあるでしょう。これらを一緒に管理していると、情報が集約される分だけ適切なアクセス制限が重要になります。

表に挙げた情報が、すべての利用者に同じ範囲で表示されるわけではありません。公式の利用者マニュアルや管理画面で、自社の権限と実際の取り扱いを確認してください。

3．技能者情報の流出で考えられる影響

技能者の氏名や所属会社、資格情報などが外部へ流出すると、本人の意図しない相手に職歴や業務上の情報が伝わる可能性があります。社内で作成した連絡先一覧なども一緒に流出した場合は、不審な連絡に悪用されるおそれも考えられます。

就業履歴についても、特定の技能者がどの現場で働いたかという情報を含むため、必要な担当者以外への共有は慎重に判断する必要があります。

ただし、情報が外部から閲覧できる状態だったことと、実際に第三者が情報を取得したことは同じではありません。事故が疑われた場合は、確認済みの事実と想定される影響を分けて整理することが重要です。

4．管理者IDとパスワードの管理

CCUS関連業務を複数の担当者で処理する場合、ログイン情報の管理が曖昧にならないよう注意が必要です。担当者間で同じIDやパスワードを共有していると、操作した人物を確認しにくくなり、異動や退職の際にも管理上の問題が残ります。

利用者ごとにアカウントを分けられる場合は、業務に必要な権限を設定し、認証情報を適切に保管しましょう。多要素認証などの機能が利用できるかどうかは、対象システムの仕様を確認してください。

アカウント管理の確認事項

• 利用者IDと管理責任者を把握しているか
• パスワードをメールや共有ファイルに記載していないか
• 業務上不要な担当者が利用していないか
• 異動・退職した社員の利用権限が残っていないか
• 不審なログインが疑われた場合の連絡先を把握しているか
• 利用可能な認証強化機能を確認しているか

パスワードの管理ルールを定めるだけでなく、担当者が変わった際に確実に見直せる運用にしておくことが大切です。

5．閲覧権限と利用目的の確認

技能者情報を扱う際は、誰が何のために情報を利用するのかを明確にしておく必要があります。例えば、現場への入場確認に必要な情報と、資格や就業履歴の詳細を確認するための情報は、必ずしも同じではありません。

管理担当者が閲覧できる範囲を把握し、業務上必要のない情報まで取得・保存していないか確認しましょう。システム上の閲覧権限に加え、ダウンロードしたファイルの保存先にも注意が必要です。

特に、社内の共有フォルダーへ保存した後は、元のシステムで設定した権限が、そのファイルにそのまま適用されるとは限りません。保存後の管理を別に考えることが重要です。

6．元請会社と協力会社の情報共有

建設現場では、元請会社が現場管理のために技能者情報を確認し、協力会社が登録や更新を行うなど、複数の事業者が関係することがあります。

このとき、情報を共有する目的や範囲が曖昧だと、必要以上の情報を送信したり、別の現場の名簿を誤って共有したりするおそれがあります。

情報共有で確認したいこと

• 情報を共有する目的が明確になっているか
• 必要な技能者情報だけを共有しているか
• 送信先の会社と担当者を確認しているか
• 共有ファイルの閲覧権限を設定しているか
• 不要になった共有リンクを停止しているか
• 事故時の連絡先と責任分担を確認しているか

元請会社と協力会社の情報共有が、個人情報保護法上どのような取り扱いになるかは、情報の利用目的や契約関係などによって異なります。委託、第三者提供などの区分を一律に決め付けず、実際の運用を確認することが必要です。

7．Excel・PDF・メールの取り扱い

CCUS関連の業務で注意したいのは、公式システムへのアクセスだけではありません。技能者情報をExcelやPDFで管理したり、メールに添付して関係会社へ送ったりする場面にも、情報流出のリスクがあります。

例えば、送信先を間違えた場合や、共有リンクの公開範囲を広く設定した場合、業務に関係のない相手が情報を閲覧する可能性があります。

ファイル共有時の基本対策

• 送信先の会社名とメールアドレスを確認する
• 必要な項目だけを含むファイルを作成する
• 共有リンクの閲覧対象を限定する
• 個人のメールや私物端末への保存を避ける
• 保存先と管理責任者を明確にする
• 不要になった複製ファイルを整理する

メールの添付ファイルにパスワードを設定するだけで、すべてのリスクを防げるわけではありません。送信先の確認や共有権限の制限など、複数の対策を組み合わせることが大切です。

8．CCUSカードと端末の紛失対策

建設キャリアアップカードや、関連業務で利用するスマートフォン・パソコンを紛失した場合は、紛失した物の種類によって必要な対応が異なります。

カードの紛失については、CCUSの公式案内に従って必要な手続きを確認してください。一方、ログイン情報を保存した端末を紛失した場合は、第三者がシステムへアクセスできる状態になっていないか確認する必要があります。

紛失時に確認したいこと

• カードと端末のどちらを紛失したか
• 社内の責任者へ連絡したか
• 端末にログイン情報が保存されていたか
• 画面ロックや端末の暗号化が有効だったか
• 必要な認証情報の変更や利用停止を検討したか
• 公式窓口への連絡が必要か確認したか

カードの紛失と、登録情報そのものの漏えいは同じではありません。紛失した物の機能と利用状況を確認し、必要な対応を判断することが重要です。

9．異動・退職・工事終了後の対応

CCUS関連業務の担当者が異動・退職した場合、業務上の利用権限を見直す必要があります。以前の担当者が使っていたアカウントや共有フォルダーへのアクセスが残っていないか確認しましょう。

また、工事終了後も技能者情報を含む名簿や帳票が社内に残ることがあります。法令や契約、業務上の必要性に応じて保存期間を整理し、不要な複製を放置しないことが大切です。

なお、CCUS公式システム内の登録情報や就業履歴の取り扱いは、各社が独自に保管するファイルとは異なります。公式データの削除や変更については、所定の手続きと利用規約を確認してください。

10．不正アクセスや誤送信が疑われた場合

CCUS関連情報の不正閲覧や誤送信が疑われた場合は、まず発見日時と状況を記録し、社内の責任者へ連絡してください。公式システムに関する問題なのか、自社で保管するExcelやPDFの問題なのかを整理することが重要です。

例えば、誤った相手へメールを送信した場合は、送信した情報の種類や宛先を確認します。不正ログインが疑われる場合は、必要な利用制限や認証情報の変更について、公式窓口や管理担当者と連携して対応しましょう。

初動対応の基本手順

1. 発見日時と異常の内容を記録する
2. 社内の責任者へ連絡する
3. 対象となる情報と保存先を確認する
4. 必要なアクセス制限や共有停止を行う
5. 調査に必要なログや資料を保全する
6. 関係する技能者や事業者の範囲を整理する
7. 法令・契約に基づく報告や通知の要否を確認する

11．個人情報保護と外部サービスの管理

技能者の氏名や資格情報、就業履歴などは、個人情報に該当する場合があります。個人データを取り扱う事業者には、その漏えい等を防ぐための適切な安全管理措置が求められます。

また、一定の類型に該当する個人データの漏えい等が発生した場合は、個人情報保護委員会への報告や本人への通知が必要になります。報告の要否や期限は、事故の内容に応じて確認してください。

CCUSの公式システムと、自社が利用するクラウドストレージや勤怠管理サービスなどでは、管理主体や契約条件が異なります。外部サービスを利用する際は、保存先や権限設定、事故時の連絡先を把握しておきましょう。

外部サービスの情報管理については、クラウドサービス・外部事業者のリスクも参考になります。

事故時の連絡体制は、サイバー事故に備える緊急連絡体制の準備で確認できます。

12．社長向け実務チェック表

CCUS関連情報を安全に取り扱うために、建設会社が確認したい項目を整理しました。公式システムの設定と、社内で作成する名簿・帳票の管理を分けて確認することがポイントです。

すべての項目を一度に見直す必要はありません。まずは担当者のID管理と、技能者情報を含むファイルの保存先を確認することから始めましょう。

なお、技能者情報の漏えいによって損害が発生した場合でも、サイバー保険で必ず補償されるとは限りません。補償の有無は、契約内容と事故の状況によって異なります。

13．今日の一歩とまとめ

建設キャリアアップシステムに関連する業務では、技能者の氏名や資格情報、就業履歴などを取り扱います。現場管理や技能者の適切な評価に役立つ情報だからこそ、必要な担当者が適切な目的で利用できるように管理することが大切です。

特に注意したいのは、公式システムから取得した情報を、社内のExcelやPDF、メールなどで扱う場面です。元のシステムで閲覧権限が管理されていても、複製したファイルまで自動的に保護されるわけではありません。

管理者IDの利用状況を把握し、元請会社と協力会社の情報共有ルールを確認するとともに、異動・退職時には不要なアクセス権限を見直しましょう。

技能者情報を守ることは、元請会社と協力会社、そして現場で働く技能者との信頼関係を守ることにもつながります。

誰が情報を扱い、どこに保存しているかを把握することが、安全管理の第一歩です。

参考情報：
建設キャリアアップシステム｜公式サイト／
個人情報保護委員会／
IPA｜中小企業の情報セキュリティ対策

※本記事はCCUSに関連する業務で想定される情報管理上の注意点を整理したものです。公式システムの機能や閲覧権限、登録情報の取り扱いは、最新の利用規約・公式マニュアルを確認してください。