建設会社の工事写真共有サービスが狙われた場合の影響と安全対策

建設会社の社長、現場で撮影した工事写真を、どこに保存し、誰が閲覧できるか把握していますか？

建設業では、施工前・施工中・完成後の写真、配筋や配管など完成後に見えなくなる部分の写真、検査記録など、多くの画像データを扱います。

こうした写真をクラウドサービスで共有すれば、本社と現場、元請会社、協力会社の間で情報を確認しやすくなります。

しかし、共有サービスのアカウントが乗っ取られたり、公開設定に不備があったりすると、工事写真が第三者に閲覧される可能性があります。さらに、写真が削除・改ざんされれば、施工記録の確認や検査対応にも影響するおそれがあります。

この記事では、工事写真共有サービスで想定されるリスクと、建設会社の経営者が確認したい具体的な安全対策を解説します。

1. 工事写真共有サービスが重要な理由

工事写真は、現場の進捗を確認するだけでなく、施工内容を記録し、発注者への説明や検査資料の作成などに利用されます。

例えば、コンクリートを打設する前の配筋状況や、壁で隠れる前の配管状況は、完成後に同じ状態を撮影できない場合があります。

そのため、写真データが利用できなくなると、単なる画像の消失では済まず、施工内容を確認するための資料が不足する可能性があります。

また、工事写真には、建物の内部構造、設備の配置、現場の所在地、作業員の姿などが写り込む場合があります。

すべての工事写真が機密情報や個人情報に該当するわけではありませんが、写真の内容によっては慎重な管理が必要です。

2. 不正アクセスにつながる5つの問題

① アカウントの乗っ取り

偽メールなどでIDやパスワードが盗まれると、第三者が正規の利用者を装って写真共有サービスにログインする可能性があります。

特に、他のサービスとパスワードを使い回している場合や、多要素認証が設定されていない場合は注意が必要です。

② 共有リンクの公開範囲が広すぎる

写真を共有するために作成したリンクが、ログイン不要で誰でも閲覧できる設定になっている場合があります。

そのリンクが転送されたり、意図しない相手に知られたりすると、関係者以外が写真を閲覧できる可能性があります。

③ 協力会社のアクセス権限が残っている

工事が終了しても協力会社のアカウントが有効なままになっていると、必要のなくなった写真や別の工事情報を閲覧できる場合があります。

工事の開始・担当変更・終了に合わせて、権限を見直す仕組みが必要です。

④ 写真の削除・上書き・改ざん

編集や削除の権限が広く設定されていると、操作ミスだけでなく、不正な操作によって写真データが失われたり変更されたりする可能性があります。

重要な施工記録については、変更履歴や削除履歴、復元機能の有無を確認しておきましょう。

⑤ サービス提供会社側の障害や事故

自社のアカウント管理に問題がなくても、サービス提供会社側の障害やサイバー事故によって、写真データを一時的に利用できなくなる可能性があります。

クラウドサービスを利用しているからといって、自社での保存・復旧の備えが不要になるわけではありません。

3. 建設会社で想定される被害と影響

ここでは、工事写真共有サービスが利用できなくなった場合の仮想例を考えます。特定企業で実際に発生した事故ではありません。

ある建設会社では、複数現場の施工写真を一つのクラウドサービスで管理していました。

検査資料を作成する直前にサービスが利用できなくなり、必要な写真を取り出せなくなったとします。

その場合、別の保存先に写真が残っていなければ、資料作成や施工状況の確認に時間がかかる可能性があります。

• 検査・引渡しへの影響：必要な写真記録を提示できず、確認や資料作成が遅れるおそれ。
• 施工内容の確認困難：完成後に見えない部分の施工状況を確認しにくくなる可能性。
• 情報漏えい：建物内部、設備配置、施主情報、作業員の姿などが第三者に閲覧されるおそれ。
• 追加費用：原因調査、データ復旧、記録の整理や代替資料の作成に費用が生じる場合。
• 取引先への対応：施主や元請会社への状況説明、再発防止策の提示が必要になる可能性。

ただし、サービスが停止しただけで必ず工期が遅れるわけではありません。影響は写真の用途、代替記録の有無、復旧までの時間などによって異なります。

中小企業のサイバーリスク全般については、中小企業のサイバーリスクと実務対策の総合ガイドも参考にしてください。

4. 経営者が確認したい7つの対策

経営者自身がクラウドの細かな設定を行う必要はありません。現場責任者やシステム管理者に、次の7項目を確認することが重要です。

1. 利用サービスを把握する：現場ごとに使っている写真共有サービス、契約者、管理責任者を一覧にする。
2. 多要素認証を設定する：対応するサービスでは、パスワード以外の認証も利用する。
3. 共有リンクを制限する：必要な相手だけが閲覧できる設定を優先し、公開範囲と有効期限を確認する。
4. 権限を最小限にする：写真の閲覧・追加・編集・削除を、担当者の業務に必要な範囲へ制限する。
5. 工事終了時に権限を見直す：不要なアカウントや共有リンクを停止する。
6. 写真のバックアップを確認する：重要な施工写真を別の安全な保存先にも保管し、復元できるか試す。
7. 履歴と連絡体制を確認する：アクセス記録、変更履歴、サービス障害時の問い合わせ先を把握する。

特に重要なのは、「共有できること」と「誰でも見られること」を混同しないことです。

写真を必要な関係者へ届けながら、不要な公開を防ぐ管理が求められます。

5. 工事写真を共有する際の管理ルール

建設会社では、工事写真を撮影してから保管・共有・提出するまでの流れを決めておくと、管理上の問題を減らしやすくなります。

撮影時に確認すること

• 写真に施主の氏名、住所、車両番号、個人の顔などが不要に写っていないか。
• 建物の内部設備や防犯設備など、公開範囲に注意が必要な情報が含まれていないか。
• 私物端末で撮影する場合、会社の保存・削除ルールに従っているか。

共有時に確認すること

• 共有相手が正しいか。
• 閲覧だけでよい相手に編集・削除権限を与えていないか。
• 共有リンクに有効期限や閲覧制限を設定できるか。
• 協力会社が別の相手へ再共有する際のルールがあるか。

工事終了時に確認すること

• 写真データの最終保管先と保存期間が決まっているか。
• 必要な写真が取り出せる形式で保存されているか。
• 不要な外部共有リンクやアカウントが停止されているか。
• 契約・発注者の指定に応じた記録保管ができているか。

写真の保存期間は、工事の種類、契約条件、発注者の指定、関係法令などによって異なります。一律の期間で削除せず、必要な保存条件を確認してください。

6. サービス停止や写真消失への備え

工事写真をクラウドに保存していても、障害時にすぐ利用できるとは限りません。

また、サービスの同期機能によっては、誤って削除した写真が別の端末や保存先からも削除される場合があります。同期とバックアップは同じものではありません。

そのため、次の備えを検討しましょう。

1. 重要写真を別の保存先に保管する：本来の共有サービスとは独立した保存先を確保する。
2. 復元手順を確認する：写真を誤削除した場合やサービス停止時に、どこから復元できるか確認する。
3. 検査前に必要写真を確保する：検査や引渡しに必要な記録を、事前に安全な場所へ出力・保管する。
4. 管理者を複数名把握する：担当者が不在でも、適切な権限を持つ責任者が対応できる体制を整える。
5. サービス契約を確認する：データの保存・削除・エクスポート・障害時対応の条件を確認する。

写真のバックアップは保存するだけでなく、実際に取り出せるかを定期的に確認することが重要です。

システム停止時の業務継続については、サイバーBCPと事業継続・復旧訓練も参考にしてください。

7. 情報流出が疑われた場合の初動対応

身に覚えのない共有リンク、不審なログイン、写真の大量ダウンロード、意図しない公開などが見つかった場合は、状況を確認しながら被害拡大を防ぎます。

1. 社内責任者へ報告する：発見日時、対象工事、対象写真、異常の内容を整理する。
2. 公開範囲を確認する：共有リンクやアカウントの設定を調べ、必要に応じて公開停止や権限制限を行う。
3. 証拠を保全する：アクセス履歴、共有設定、操作履歴、サービス事業者からの通知などを保存する。
4. サービス提供会社へ連絡する：不正アクセスの有無や、写真の閲覧・取得状況について調査を依頼する。
5. 影響する情報を特定する：施主情報、作業員の個人情報、設備配置など、写真に含まれる情報を確認する。
6. 関係先への連絡を判断する：施主・元請・協力会社への連絡や、法令上の報告義務を確認する。

共有リンクが公開されていたとしても、第三者が実際に閲覧・取得したかどうかは別の問題です。公開設定の事実と、確認された被害を区別して調査しましょう。

個人データの漏えい等が疑われる場合は、個人情報保護委員会の公式案内を参考に、報告・本人通知の要否を確認してください。

なお、原因調査のための記録を残さずにアカウントや写真を削除すると、後の調査が難しくなる場合があります。専門家やサービス提供会社と連携して対応することが重要です。

8. サイバー保険で確認したい補償

アカウント管理やバックアップを徹底しても、サイバー事故の可能性を完全になくすことはできません。

事故対応費用への備えの一つとしてサイバー保険がありますが、すべての損失が補償されるわけではありません。

• 外部の写真共有サービスへの不正アクセスが補償対象となる条件
• 原因調査、情報漏えい対応、データ復旧に必要な費用
• 施主や第三者への賠償責任の取扱い
• サービス停止による利益減少や追加費用の補償条件
• 外部クラウドサービスの障害が対象となる範囲
• 写真の再撮影・再作成や検査対応にかかる費用の取扱い
• 工期遅延や違約金に関する補償上の制限
• 事故連絡期限、自己負担額、支払限度額

特に、クラウドサービスの単純なシステム障害と、サイバー攻撃による事故では、保険上の取扱いが異なる場合があります。

また、写真が消失した場合の再作成費用や、工期遅延に伴う損失が当然に補償されるわけではありません。

実際の補償範囲は、保険会社、商品、特約、契約条件によって異なります。サイバー保険の比較と確認ポイントも参考にしてください。

9. まとめ｜今日からできる3つの確認

工事写真共有サービスは、建設会社の業務効率を高める便利な仕組みです。

しかし、共有リンクやアクセス権限の管理が不十分な場合、写真の流出や改ざん、消失につながる可能性があります。

まず、次の3つを確認してください。

1. 工事写真を誰が閲覧・編集・削除できる状態になっているか。
2. 工事終了後の協力会社アカウントや共有リンクが残っていないか。
3. 写真共有サービスが停止しても、重要な施工写真を別の保存先から取り出せるか。

最初の一歩として、現在利用している工事写真共有サービスの管理画面で、共有リンクと利用者の権限を確認してみてください。

工事写真は、単なる画像ではなく、施工内容を示す大切な記録です。必要な人が安全に利用でき、万一の際にも失わない管理を整えることが、工事と取引先からの信頼を守ることにつながります。