建設会社の情報漏えい後に発注者・取引先へ説明する重要なポイント

「情報漏えいが起きたとき、発注者には何を、どこまで説明すればよいのでしょうか？」

建設会社では、施主の住所や連絡先、設計図書、施工計画書、協力会社の情報など、多くの重要資料を取り扱っています。

これらがメール誤送信や不正アクセスによって外部へ流出した場合、被害拡大を防ぐだけでなく、発注者や取引先への連絡も重要になります。

ただし、事故発覚直後に原因や影響範囲がすべて判明するとは限りません。確認できていない内容を断定すると、後から説明が食い違い、かえって信頼を損なうおそれがあります。

一方、調査が終わるまで何も伝えなければ、契約上必要な報告が遅れたり、取引先が自社で対策を取る機会を失ったりする可能性もあります。

この記事では、情報漏えいが疑われた際に、建設会社が発注者や取引先へ説明する内容、連絡の順序、追加報告の進め方を具体的に整理します。

1．情報漏えい後の説明が重要な理由

建設会社の情報漏えいは、自社だけで完結する問題とは限りません。流出した資料に発注者の情報や協力会社の情報が含まれていれば、関係先にも影響が及ぶ可能性があります。

例えば、施主の住所や住宅図面が対象となった場合、施主は自分の情報がどのような状態にあるのか確認したいと考えるでしょう。

公共工事の施工資料であれば、発注者が施設の安全管理や契約上の対応を判断するため、早期の情報共有が必要になる場合があります。

説明で重要なのは、事故を小さく見せることでも、必要以上に深刻な印象を与えることでもありません。確認できた事実を正確に伝え、今後の対応を明確にすることです。

2．最初に連絡すべき相手を整理する

情報漏えいが疑われた際は、まず社内の責任者へ連絡し、事故の内容と関係先を整理します。

発注者や取引先への連絡が必要かどうかは、流出した情報の種類、契約条件、事故の影響によって異なります。

例えば、元請会社から預かった作業員情報が対象であれば、委託関係や契約上の報告条件を確認する必要があります。

すべての取引先へ一斉に連絡することが適切とは限りません。影響を受ける可能性がある相手と、契約上連絡が必要な相手を区別して整理しましょう。

3．初回連絡のタイミングと注意点

事故発覚直後は、原因や影響範囲が判明していないこともあります。しかし、調査が終わるまで連絡を待つと、必要な報告が遅れる可能性があります。

まずは契約書や仕様書に定められた事故報告の条件を確認し、必要な相手へ速やかに連絡することが重要です。

初回連絡では、判明している事実を中心に説明し、調査中の事項についてはその状態を明確に伝えましょう。

初回連絡で確認したいこと

• 契約上の報告期限や連絡手順
• 対象となる工事や契約
• 事故を発見した日時
• 流出が疑われる資料の種類
• 現時点で確認できた影響
• 実施済みの被害拡大防止策
• 追加報告の連絡窓口

法令上の報告期限と、発注者との契約で定められた報告期限は同じとは限りません。それぞれを確認する必要があります。

4．確認済みの事実と調査中の事項を分ける

情報漏えい事故の説明で特に注意したいのは、確認できていない内容を断定しないことです。

例えば、クラウドストレージの共有設定ミスが見つかった場合、第三者が閲覧できる状態だったことは確認できても、実際に資料を取得したかどうかは分からない場合があります。

そのような状況で「情報は漏れていません」と説明すると、後からアクセス記録が見つかった際に説明が食い違うおそれがあります。

一方、取得の事実が確認できていない段階で「すべての資料が流出しました」と断定することも適切ではありません。

この三つを区別すると、発注者や取引先も現時点の状況を把握しやすくなります。

5．発注者・取引先へ説明したい七つの項目

事故の説明資料は、長ければよいわけではありません。相手が知りたい内容を整理し、確認できた事実を分かりやすく伝えることが重要です。

特に、対象となる工事や資料、事故の発生状況、実施済みの対応、今後の調査予定を明確にしましょう。

初回連絡の段階ですべての項目が確定している必要はありません。未確認の内容は調査中と記載し、判明した事項を追加報告する流れを整えましょう。

6．公共工事と民間工事の契約条件

建設会社が事故対応を進める際は、公共工事か民間工事かにかかわらず、契約書や仕様書に定められた情報管理条件を確認する必要があります。

公共工事では、発注機関によって秘密保持や事故報告に関する取り決めが設けられている場合があります。

民間工事でも、発注者との契約や秘密保持契約により、情報流出時の連絡や対応が求められることがあります。

契約書で確認したい事項

• 秘密保持に関する取り決め
• 事故発生時の連絡先
• 報告期限や報告方法
• 対象となる情報の範囲
• 協力会社・委託先の管理条件
• 調査や再発防止への協力義務

すべての公共工事や民間工事に共通する報告期限があるわけではありません。個別の契約条件を確認してください。

7．個人情報が含まれる場合の報告・通知

流出した資料に施主の氏名や住所、従業員情報、作業員名簿などが含まれる場合は、個人情報保護法上の対応も確認する必要があります。

個人データの漏えい等について、一定の類型に該当する場合は、個人情報保護委員会への報告と本人通知が原則として必要になります。

報告対象となる事態では、速報は速やかに行い、概ね3〜5日以内が目安とされています。確報は原則30日以内ですが、不正の目的による行為が原因となる類型では60日以内です。

ただし、個人情報を含む事故がすべて同じ報告対象になるわけではありません。対象情報や事故の状況によって判断する必要があります。

8．協力会社・委託先との情報共有

建設業では、元請会社、協力会社、設計事務所、システム管理会社など、複数の事業者が情報を取り扱うことがあります。

事故が発生した際には、どの会社が対象情報を管理していたのか、誰が調査を進めるのか、発注者への連絡をどのように調整するのかを確認する必要があります。

例えば、協力会社の端末から資料が流出した可能性がある場合、元請会社だけでは原因や影響範囲を把握できないことがあります。

関係会社と確認したいこと

• 対象資料を保管していた事業者
• アクセスできた担当者と共有先
• 事故発見から現在までの対応
• 証拠保全と調査の担当
• 発注者への連絡担当者
• 追加報告の進め方
• 契約上の責任分担

関係会社間で説明内容が食い違わないよう、確認済みの事実と連絡記録を共有することが大切です。ただし、事故調査に不要な個人情報や機密資料まで広く共有しないよう注意しましょう。

9．説明で避けたい言葉と対応

発注者や取引先への説明では、安心してもらおうとするあまり、確認できていない内容を断定してしまうことがあります。

例えば、「被害はありません」「情報は流出していません」「原因は完全に解決しました」といった表現は、調査結果による裏付けがない場合には避けるべきです。

また、関係会社に原因があると考えられる場合でも、調査前に責任の所在を断定すると、後から説明の修正が必要になる可能性があります。

相手に伝えるべきなのは、根拠のない安心ではなく、現時点の状況と今後の対応です。

10．追加報告と問い合わせ対応

事故の初回連絡後も、原因調査や影響範囲の確認が続く場合があります。そのため、追加報告の方法と連絡窓口を決めておくことが重要です。

例えば、対象資料の範囲が変わった場合や、第三者による取得が確認された場合は、必要な関係先への追加説明を検討します。

また、発注者や取引先から同じ質問が複数の担当者へ寄せられると、回答内容に食い違いが生じるおそれがあります。

問い合わせ対応で確認したいこと

• 社内の説明責任者を決める
• 問い合わせ窓口を明確にする
• 確認済みの事実を共有する
• 未確認事項の回答ルールを決める
• 追加報告が必要な条件を整理する
• 説明日時と内容を記録する

追加報告の予定を伝える場合は、調査の進み具合や契約上の条件を踏まえ、実際に対応できる範囲で設定しましょう。

11．再発防止策をどう伝えるか

情報漏えい後の説明では、発生した事故への対応だけでなく、再発防止の取り組みも重要になります。

ただし、原因が判明していない段階で、再発防止策がすべて確定したように説明することは適切ではありません。

まずは暫定的な被害拡大防止策と、原因調査後に実施する恒久的な対策を分けて整理しましょう。

再発防止策の説明例

• メール誤送信：宛先・添付資料の確認手順を見直す
• 共有設定ミス：アクセス権限と共有リンクを点検する
• 不正アクセス：認証設定や更新管理を見直す
• 端末紛失：端末管理と情報保存ルールを確認する
• 委託先での事故：契約条件と情報共有手順を見直す

再発防止策を伝える際は、実施する内容だけでなく、担当部署や確認方法も整理すると、発注者や取引先が進捗を把握しやすくなります。

外部サービスの情報管理については、クラウドサービス・外部事業者のリスクも参考になります。

事故時の連絡体制は、サイバー事故に備える緊急連絡体制の準備で確認できます。

12．社長向け実務チェック表

情報漏えい後に発注者や取引先へ適切に説明するため、建設会社が確認したい項目をまとめました。

特に、連絡先、契約上の報告条件、説明責任者の三つは、事故が起きる前から把握しておくことが重要です。

すべての項目を一度に整える必要はありません。まずは現在進行中の工事を一件選び、事故時の発注者連絡先と報告条件を確認しましょう。

なお、情報漏えいによって損害が発生した場合でも、サイバー保険で必ず補償されるとは限りません。補償の有無は契約内容と事故の状況によって異なります。

13．今日の一歩とまとめ

情報漏えいが発生した際、発注者や取引先への説明で重要なのは、確認できた事実を正確に伝え、今後の対応を明確にすることです。

事故発覚直後は原因や影響範囲が判明していない場合もありますが、契約上必要な連絡を後回しにしないよう注意する必要があります。

また、初回連絡だけでなく、追加報告や問い合わせ対応、再発防止まで見据えて連絡体制を整えておくことが大切です。

事故後の説明は、会社の信用に関わる重要な対応です。平常時から連絡先と報告手順を整理しておくことで、万一の際にも落ち着いて必要な対応を進めやすくなります。

確認済みの事実を正確に伝え、調査中の事項を明確にすることが、発注者や取引先との信頼を守る第一歩です。

参考情報：
IPA｜中小企業の情報セキュリティ対策／
個人情報保護委員会｜漏えい等の対応／
JPCERT/CC／
国土交通省

※本記事は建設会社で情報漏えいが疑われた場合の一般的な説明・連絡対応を整理したものです。法令上の報告義務、契約上の連絡条件、本人通知の要否は、事故の内容や契約によって異なります。最新の公式情報と個別の契約条件を確認してください。