退職技術者の設計データアクセス問題｜建設会社が守るべき管理対策

「退職した技術者が、今も会社の設計データを開ける状態になっていた」

もし自社でそんな事実が分かったら、社長はどう対応するでしょうか。

建設会社では、設計図面、CADデータ、BIMモデル、施工図、見積書などを、社員や協力会社と共有しています。

しかし、退職時にパソコンを返却しても、クラウドや設計システムのアクセス権限まで解除されているとは限りません。

ここで注意したいのは、アクセスできる状態が残っていることと、実際に不正な閲覧や持ち出しが行われたことは別だという点です。

退職者を疑うことが目的ではありません。誰が退職しても情報を安全に管理できる仕組みを作ることが重要です。

この記事では、建設会社が見落としやすい退職後のアクセス権限と、具体的な管理方法を解説します。

※本文の事例は仮想事例です。特定の退職者や企業で不正行為が発生したことを示すものではありません。

1. 退職後も設計データを開ける問題とは

建設会社では、社員が複数のシステムを使いながら仕事を進めます。

会社のメール、クラウドストレージ、CAD・BIM関連システム、工程管理ツール、社内サーバーなどです。

退職時に一部のアカウントだけを停止すると、別のサービスに権限が残る可能性があります。

例えば、会社のメールは停止したのに、設計データを保存したクラウドの共有権限が残っているケースです。

その場合、退職後も資料を閲覧できる可能性があります。

ただし、アクセス権限が残っているだけで、情報が実際に流出したとは限りません。

問題は、業務上の必要性がなくなった権限を、会社が把握・管理できていないことです。

2. 建設会社で残りやすいアクセス権限

退職時に見落としやすいのは、会社が一括管理していないサービスです。

サービスによっては、一つの管理画面から停止できる場合もありますが、個別の操作が必要な場合もあります。

退職者が利用していたシステムの一覧を事前に作成しておくことが重要です。

3. CAD・BIMデータが持つ重要性

CADやBIMのデータには、建物の設計内容、設備配置、構造、施工方法などが含まれる場合があります。

案件によっては、発注者名、物件所在地、取引条件などの情報と結びつくこともあります。

こうした資料は、営業上の秘密や契約上の機密情報として管理が必要な場合があります。

ただし、すべての設計データが法律上の営業秘密や個人情報に該当するわけではありません。

情報の性質や管理状況、契約条件によって判断する必要があります。

退職者によるアクセスを防ぐことは、会社だけでなく、発注者や協力会社から預かった情報を守ることにもつながります。

4. パソコン返却だけでは不十分な理由

退職時に会社のパソコンやスマートフォンを返却しても、それだけでクラウドへのアクセスが停止するとは限りません。

クラウドサービスは、別の端末からもログインできる場合があるからです。

また、退職前に発行した共有リンクが有効なまま残る可能性もあります。

そのため、端末の回収とアカウントの停止は別々に確認する必要があります。

業務上必要なデータの引き継ぎを済ませたうえで、適切な時点でアカウントを停止し、必要に応じてログイン中のセッションや認証手段も無効化します。

退職者の個人端末に会社情報が保存されている可能性がある場合は、会社の規程や契約、適用法令に沿って対応を検討します。

5. 共有リンクと個人アカウントの違い

クラウドストレージでは、個人アカウントへのアクセス許可と、共有リンクによるアクセスは別の仕組みである場合があります。

例えば、退職者のアカウントを停止しても、以前に作成した「リンクを知っている全員」がアクセスできる共有リンクが残っていれば、そのリンクから資料を閲覧できる可能性があります。

逆に、本人確認が必要な共有リンクでは、アカウント停止によってアクセスできなくなる場合もあります。

つまり、アカウント停止だけでなく、共有リンクや共有フォルダーの設定も確認する必要があります。

共有リンクの危険性については、クラウド事業者のリスクと企業が確認したいことも参考になります。

6. 共有ID・パスワードの危険性

複数の社員が同じIDとパスワードを使っている場合、誰が操作したのかを特定しにくくなります。

退職者が共有パスワードを知っている場合、退職後も利用できる可能性があります。

また、パスワードを変更しても、既存のログイン状態が維持されるサービスもあるため、必要に応じてセッションの失効を確認します。

可能な限り社員ごとの個別アカウントを利用し、必要最小限の権限を設定することが望まれます。

共有アカウントを避けられない場合は、退職時に認証情報の変更やアクセス状況の確認を行いましょう。

多要素認証も、不正ログインのリスクを減らすための重要な対策です。

7. 退職時に停止・解除したい権限

退職時には、単にアカウントを削除するのではなく、必要な業務データの引き継ぎを確認したうえで、適切にアクセスを停止します。

特に、設計データの所有者が退職者の個人アカウントになっている場合は注意が必要です。

先にアカウントを削除すると、必要なデータへアクセスできなくなる場合があります。

サービスの仕様を確認し、会社管理のアカウントや適切な保管先へ移管してから停止することが重要です。

8. 退職前後の実務チェック手順

退職者が出るたびに対応を考えるのではなく、手順を決めておきましょう。

退職が決まったとき

• 利用中のシステムとアカウントを洗い出す
• 担当していた工事案件と共有先を確認する
• 必要な設計データを引き継ぐ
• 退職日と権限停止の予定を決める

退職当日

• 会社アカウントや遠隔接続を停止する
• クラウド共有とCAD・BIMの権限を解除する
• 必要に応じて共有パスワードを変更する
• 会社貸与端末や記録媒体を回収する

退職後

• 停止・解除が完了したか確認する
• 必要に応じてアクセス履歴を点検する
• 共有フォルダーに不要な権限が残っていないか確認する
• 実施した作業と確認者を記録する

退職予定日が変更された場合にも対応できるよう、人事担当者とシステム管理者が連携することが大切です。

9. 協力会社・外部技術者にも必要な管理

建設会社では、社員だけでなく、外部の設計者や協力会社の技術者にも設計データを共有します。

工事が終了しても、プロジェクトの共有権限が残る場合があります。

そのため、退職者だけでなく、契約終了者や担当変更者についても同じように確認する必要があります。

例えば、協力会社の担当者が交代した際、前任者のアクセス権限を解除し、新しい担当者に必要な権限だけを付与します。

共有相手の会社名、担当者、案件、共有期限を記録しておくと管理しやすくなります。

工事終了時に権限を見直すルールも有効です。

10. アクセス履歴で確認できること

クラウドや設計システムによっては、ログイン履歴、ファイルの閲覧・ダウンロード、共有設定の変更などを確認できる場合があります。

ただし、記録できる内容や保存期間はサービスや契約プランによって異なります。

また、アクセス履歴が残っていないからといって、過去にアクセスがなかったと断定できるわけではありません。

退職後のアクセス権限が残っていたと分かった場合は、まず利用できた範囲を確認し、必要に応じて記録を調べます。

ログの確認は、事実を把握するために行うものであり、退職者による不正を決めつけるためのものではありません。

11. 退職後のアクセス権限残存に気づいたら

退職者のアクセス権限が残っていた場合は、速やかに社内の責任者へ報告します。

1. 対象アカウント、共有先、確認日時を記録する
2. 必要な証拠を保全し、権限の停止や共有リンクの無効化を進める
3. アクセス可能だった設計データの範囲を確認する
4. 確認できるアクセス履歴を調べる
5. 実際の閲覧・ダウンロードなどがあったか、確認できる範囲で調査する
6. 顧客や元請への連絡が必要か判断する
7. 原因を整理し、退職手続きを見直す

権限が残っていた事実だけで、情報漏えいが確定したとは限りません。

一方、個人データの漏えい等が疑われる場合には、法令上の報告や本人通知の要否を確認する必要があります。

事故時の社内連絡については、サイバー事故の緊急連絡先を事前に準備する重要性も参考になります。

法令上の対応は、個人情報保護委員会の公表資料などを確認してください。

12. 事故対応費用とサイバー保険

退職者のアクセス権限が残っていた場合、状況によっては調査費用、設定の見直し費用、顧客対応費用などが発生する可能性があります。

実際に設計データが流出した場合は、契約上の守秘義務や損害賠償の問題につながることも考えられます。

ただし、権限が残っていたことだけで、必ず損害賠償責任が発生するわけではありません。

サイバー保険や情報漏えいに関する保険では、契約内容によって、情報漏えい事故への対応費用などが補償対象となる場合があります。

一方、退職者の不正行為、営業秘密の流出、単なる権限設定ミスなどは、補償の条件や免責事項によって扱いが異なります。

対象情報、事故の定義、免責事項、支払限度額などを確認する必要があります。

詳しくは、中小企業が知るべきサイバー保険の全貌と実務ポイントも参考になります。

13. 社長向けチェックリストと今日の一歩

退職時の情報管理について、次の項目を確認してみてください。

• □ 退職者が利用していたシステムの一覧がある
• □ 退職日に合わせてアカウントを停止している
• □ CAD・BIMのプロジェクト権限を解除している
• □ クラウド共有フォルダーと共有リンクを確認している
• □ VPNなどの遠隔接続権限を停止している
• □ 共有ID・パスワードを必要に応じて変更している
• □ 会社貸与端末や記録媒体を回収している
• □ 必要な設計データを後任者へ引き継いでいる
• □ 協力会社の担当変更・契約終了時も権限を見直している
• □ 権限解除の完了を確認し、記録している

退職者のアクセス管理は、特定の人を疑うためのものではありません。

誰が退職しても、会社と顧客の情報を安全に守るための基本的な管理です。

今日の一歩は、直近で退職した技術者一人について、会社アカウントだけでなく、設計データを保存したクラウドやCAD・BIMシステムの権限まで解除されているか確認することです。

一件の確認から、会社の退職手続きを見直すきっかけが生まれます。

【公的参考情報】

• IPA｜中小企業の情報セキュリティ対策ガイドライン
• IPA｜情報セキュリティ関連情報
• 個人情報保護委員会｜公式サイト
• 内閣サイバーセキュリティセンター｜公式サイト