建設図面が流出したら？元請・発注者への影響と初動対応の実践手順

建設会社の社長、もし自社が保管している工事図面が外部に流出したら、元請会社や発注者へ、何をどの順番で報告しますか。

建設図面には、建物の構造、設備の配置、工事の仕様など、第三者に知られたくない情報が含まれることがあります。

図面が流出すると、自社の情報管理だけでなく、元請会社や発注者との契約、工事の進行、取引先からの信頼にも影響する可能性があります。

重要なのは、流出が疑われた段階で被害の拡大を防ぎ、確認済みの事実を整理し、契約に沿って関係先へ報告することです。

この記事では、建設図面が流出した場合の影響、元請・発注者への報告、契約上の注意点、再発防止策を具体的に解説します。

1. 建設図面の流出はなぜ問題になるのか

建設図面は、単なる工事用の資料ではありません。

建物の用途や構造、設備配置など、発注者の事業や施設管理に関わる情報を含む場合があります。

特に、施設の詳細な構造や重要設備の配置などが記載された図面では、情報の取扱いに慎重な判断が必要です。

図面流出が疑われる場合、建設会社には次の課題が生じます。

• どの図面が外部に渡ったのか
• 流出先や閲覧者を確認できるか
• 元請・発注者への報告が必要か
• 契約上の秘密保持義務に影響するか
• 工事の継続や設計変更に影響するか
• どのような再発防止策が必要か

流出した情報の内容と状況によって、対応の緊急性は異なります。

2. 図面に含まれる重要情報

建設図面に含まれる情報は、工事の種類や施設の用途によって異なります。

すべての図面が同じ機密性を持つわけではありません。公開済みの資料か、契約上秘密情報に指定されているか、施設の安全に関わる情報が含まれるかなどを確認します。

また、図面や付随資料に個人情報が含まれる場合は、個人情報保護法上の対応が必要になる可能性があります。

3. 図面が流出する主な原因

図面の流出は、外部からのサイバー攻撃だけで発生するものではありません。

• 図面共有クラウドの公開設定ミス
• メールの宛先間違い
• 共有リンクの転送や管理不足
• 社員のアカウントへの不正アクセス
• パソコンや記録媒体の紛失
• 協力会社への共有後の管理不備
• 退職者などのアクセス権限が残っている状態

原因を確認する前に「サイバー攻撃を受けた」と断定することは避けましょう。

まず、実際に起きた事象を確認することが重要です。

4. 流出が疑われた直後の初動対応

図面流出が疑われた場合は、被害の拡大防止と事実確認を並行して進めます。

不正アクセスが疑われる場合は、感染や侵入の拡大を防ぐ必要があります。ただし、調査に必要なログや証拠を消去しないよう、IT担当者や専門家と連携してください。

契約上、速やかな事故通知が必要な場合は、調査がすべて終わるまで報告を待つべきとは限りません。

5. 流出した情報の範囲を確認する

「図面が流出した」といっても、状況には違いがあります。

• 第三者が閲覧できる状態だった
• 実際に第三者がアクセスした記録がある
• ファイルがダウンロードされた記録がある
• 外部サイトなどで公開されている
• 流出の疑いはあるが、実際の閲覧状況は不明

これらを区別せずに説明すると、被害の大きさを誤って伝えるおそれがあります。

確認する資料には、ファイル名、改訂番号、保存場所、共有設定、アクセスログ、メール送信履歴などがあります。

クラウドサービスによって取得できる記録は異なります。ログがないことだけで、第三者の閲覧がなかったと断定しないようにしましょう。

6. 元請会社への報告で確認すること

下請会社が元請会社から預かった図面を流出させた場合、契約や秘密保持義務に基づく報告が必要になることがあります。

まず、契約書や情報管理規程に定められた報告先と通知期限を確認します。

初回報告では、次の項目を整理すると役立ちます。

• 発見日時と発生状況
• 流出した可能性のある図面の種類
• 現時点で確認できている影響範囲
• 実施済みの拡大防止措置
• 調査中の事項
• 今後の対応予定と次回報告時期

原因や影響が未確定であれば、その旨を明確に伝えます。

また、発注者への連絡を誰が担当するかについても、元請会社と確認することが重要です。

7. 発注者への影響と連絡の判断

図面流出の影響は、元請会社だけでなく、建物の所有者や工事の発注者に及ぶ場合があります。

例えば、重要設備の配置が記載された図面が外部に公開された場合、施設の管理や安全面での確認が必要になることがあります。

ただし、図面が流出したからといって、直ちに施設の安全が損なわれたと断定することはできません。

発注者への報告については、契約上の連絡経路、情報の機密性、施設への影響などを踏まえて判断します。

下請会社が元請会社を通さずに発注者へ直接連絡すると、説明内容や対応が食い違う可能性もあります。緊急の安全上の事情や法令上の義務がある場合を除き、契約上の報告体制を確認し、元請会社と連携することが基本です。

8. 契約上の責任と費用負担

図面が流出した場合、秘密保持義務違反、情報管理義務、損害賠償などが問題になる可能性があります。

ただし、流出が起きたからといって、すべての損害について自動的に賠償責任が生じるわけではありません。

確認が必要な事項には、次のものがあります。

• 秘密保持契約や請負契約の内容
• 情報管理に関する具体的な義務
• 流出の原因と管理状況
• 発生した損害の内容
• 事故と損害との関係
• 責任制限条項や免責条項の有無

費用負担や損害賠償の判断は、個別の契約と事実関係によって異なります。

責任を認める文書や補償を約束する前に、必要に応じて弁護士や保険会社に相談しましょう。

9. 工事継続・工程への影響

図面流出が判明しても、工事が必ず中断するわけではありません。

一方、図面の取扱いを変更する必要が生じたり、発注者から安全面の確認を求められたりする場合は、工程に影響する可能性があります。

確認したいのは次の事項です。

• 対象図面を使う作業を継続できるか
• 図面の差し替えやアクセス権限の変更が必要か
• 協力会社への再配布が必要か
• 重要工程や検査に影響するか
• 発注者との協議が必要か

情報管理上の対応と現場の安全・品質確認を分けて考え、必要な作業を継続できるか判断します。

10. 協力会社・外部委託先への対応

建設図面は、元請会社、下請会社、設計事務所、設備会社など、複数の関係先で共有されることがあります。

そのため、自社のシステムだけを確認しても、情報の共有範囲を把握できない場合があります。

確認したい項目は次のとおりです。

• どの会社に図面を共有していたか
• 再共有を許可していたか
• 共有先のアクセス権限は適切か
• 不要になった共有リンクが残っていないか
• 協力会社での保管・削除ルールはあるか

事故が起きた場合は、必要な関係先に事実確認を依頼します。ただし、証拠となる記録を消去しないよう、調査と拡大防止の手順を調整することが重要です。

11. 図面管理の再発防止策

図面流出を防ぐには、社員への注意喚起だけでなく、仕組みとして情報を管理することが重要です。

• 図面ごとに機密性を区分する
• 必要な担当者だけに閲覧権限を付与する
• 共有リンクの有効期限を設定する
• 外部共有の承認手順を設ける
• 多要素認証を利用する
• 退職・異動時にアクセス権限を見直す
• 図面の改訂番号と共有先を管理する
• アクセスログの保存条件を確認する
• 協力会社との情報管理ルールを明確にする

特に、クラウドサービスを利用する場合は、サービス提供会社が担う対策と、自社が設定・管理すべき項目を分けて確認します。

関連記事「クラウド事業者のリスクと企業が確認したいこと」も参考になります。

12. サイバー保険で確認したいこと

サイバー保険では、契約内容によって、原因調査費用、専門家への相談費用、一定の賠償責任などが補償対象となる場合があります。

ただし、図面流出によるすべての損害が補償されるわけではありません。

特に、次の項目を確認してください。

• 図面などの機密情報の流出が補償対象となるか
• 個人情報を含まない機密情報の取扱い
• 第三者への賠償責任の補償条件
• 原因調査・弁護士相談費用の補償条件
• 契約上の違約金や特別な補償約束の取扱い
• 事故発生時の通知義務
• 免責金額と支払限度額

保険会社への報告前に、事故対応のための費用を支出したり、相手先へ賠償を約束したりする場合は、契約上の手続きに注意が必要です。

サイバー保険の基本は、関連記事「中小企業が知るべきサイバー保険の全貌と実務ポイント」でも解説しています。

事故時の連絡体制については、関連記事「サイバー事故の緊急連絡先を事前に準備する重要性」も参考になります。

13. 社長向けチェックリスト

• □ 重要な図面の保管場所を把握している
• □ 図面ごとの機密性を区分している
• □ 外部共有先を一覧で確認できる
• □ 共有リンクの公開範囲を確認している
• □ 元請会社との秘密保持契約を確認している
• □ 事故発生時の報告先と期限を把握している
• □ 図面の閲覧・共有履歴を確認できる
• □ 協力会社の情報管理ルールを定めている
• □ 不要なアクセス権限を定期的に削除している
• □ サイバー保険の機密情報漏えいに関する条件を確認している

建設図面の流出は、自社の情報管理だけでなく、元請会社や発注者との信頼関係にも影響する可能性があります。

大切なのは、事故発生後に慌てて対応するのではなく、図面の共有先、契約上の報告手順、事故時の連絡先を平常時から確認しておくことです。

今日の一歩は、重要な図面を一つ選び、「誰が閲覧できるか」「社外の誰に共有しているか」「流出時に誰へ報告するか」を確認することです。

【公式参考資料】IPA：中小企業の情報セキュリティ対策ガイドライン／個人情報保護委員会／国土交通省