月1回の情報セキュリティ確認で防ぐ建設会社のリスクと点検方法

「会社メールの不審なログイン、退職者のアカウント、図面の共有設定。最後に確認したのはいつですか？」建設会社では、日々の現場対応に追われ、情報セキュリティの設定を見直す機会が少なくなりがちです。

しかし、使われていないアカウントや不要な共有リンク、失敗したバックアップなどが放置されると、情報漏えいや業務停止につながるおそれがあります。こうした問題に気づく機会として、月1回の定期点検が役立ちます。

この記事では、社長と管理担当者が確認したい項目を具体的に整理します。専任担当者がいない建設会社でも実践しやすい、10項目チェックリストと点検記録の残し方を紹介します。

1．月1回の点検が必要な理由

情報セキュリティの問題は、事故が発生して初めて気づくとは限りません。例えば、退職者のアカウントが残っている、共有リンクの公開範囲が広い、バックアップが正常に完了していないといった状態は、定期的な確認で発見できる場合があります。

月1回の点検では、普段の業務で見落としやすい設定や管理状況を確認します。毎日の監視や必要な更新作業を月1回に減らすという意味ではなく、日常対策を補うための仕組みです。

2．不審メールと会社メールの設定

建設会社の会社メールには、見積書、請求書、図面、工程表などの重要な情報が届きます。取引先を装った不審なメールや偽のログイン画面への誘導には、日常的に注意する必要があります。

月次点検では、メールの転送設定、登録済みの連絡先、利用者のアクセス状況など、管理画面で確認できる項目を見直しましょう。不審な転送先や覚えのない設定が見つかった場合は、担当者へ速やかに報告し、必要な調査を行います。

確認したい項目

• 知らないメール転送先が設定されていないか
• 不審なログイン通知を放置していないか
• 退職者がメールを利用できる状態になっていないか
• メール管理者の権限が適切か
• 不審メールを受け取った際の報告先が明確か

3．アカウントと多要素認証の確認

会社メールや工事管理システムなどのアカウントは、社員ごとに個別に管理することが基本です。共有アカウントを多用すると、誰が操作したのか把握しにくくなる場合があります。

月次点検では、利用者一覧、管理者権限、多要素認証の設定状況を確認しましょう。特に会社メール、クラウド、管理者アカウントは、優先して確認したい対象です。

多要素認証を設定していても、不正ログインの危険が完全になくなるわけではありません。偽の認証画面や不審な認証要求への注意も必要です。

4．退職者・異動者のアクセス権限

退職者のアカウントが残っていると、退職後も会社の情報へアクセスできる可能性があります。また、異動前の業務で必要だった権限が、そのまま残る場合もあります。

退職や異動が決まった際には、所定の時点で必要な権限変更や停止を行うことが重要です。月次点検では、その手続きに漏れがなかったかを確認しましょう。

対象となる主なサービス

• 会社メール
• 図面共有クラウド
• 工事管理システム
• 顧客管理システム
• 共有フォルダやVPN
• 業務用スマートフォンの管理サービス

5．図面・顧客情報の共有設定

建設会社では、設計図、施工図、見積書、工事写真、顧客情報などを社内外で共有します。協力会社との情報共有は必要ですが、共有先や公開範囲が適切でないと、情報漏えいにつながるおそれがあります。

月次点検では、重要な共有フォルダや外部共有リンクを確認しましょう。すべての資料を一度に確認できない場合は、重要情報を含むフォルダや外部共有の多い案件から優先します。

6．パソコンと業務アプリの更新

パソコンのOSや業務アプリに脆弱性が残っていると、不正アクセスやマルウェア感染の危険が高まる場合があります。更新が必要な機器やソフトウェアを把握し、重要度に応じて対応することが大切です。

月次点検では、更新が失敗した端末や長期間利用されていない機器などを確認しましょう。ただし、重大な脆弱性への対応は月次点検を待たず、必要に応じて速やかに実施します。

確認したいこと

• OSと主要な業務アプリがサポート対象か
• 更新に失敗している端末がないか
• セキュリティ対策ソフトが正常に動作しているか
• 利用していないソフトウェアが残っていないか
• 会社が管理していない業務端末がないか

7．バックアップと復旧の確認

図面や見積書、顧客情報などのデータが失われると、業務の継続に影響する可能性があります。バックアップを取得していても、保存先の障害や設定ミスによって復旧できない場合があります。

月次点検では、バックアップの実行結果、保存先、復旧手順を確認しましょう。定期的に実際の復元テストを行い、必要なデータを取り戻せるか確かめることも重要です。

8．不審な操作と事故報告の確認

月次点検では、不審なログイン通知、異常な共有設定、セキュリティ警告などが放置されていないか確認しましょう。社員から報告された不審メールや誤送信についても、対応が完了しているか見直します。

ただし、不正アクセスや情報漏えいが疑われる場合は、月次点検まで待たずに対応する必要があります。被害拡大防止、証拠保全、関係先への連絡などを、事故の内容に応じて進めましょう。

9．月次点検を30分で進める方法

専任の情報システム担当者がいない建設会社では、点検を複雑にしすぎないことが継続のポイントです。まずは月に30分を目安として、担当者と確認項目を決めましょう。

ただし、30分は初回確認や全システムの詳細監査を完了できる時間ではありません。確認対象が多い場合や問題が見つかった場合は、必要な時間を追加し、優先順位をつけて対応してください。

点検では、問題の有無だけでなく、未対応の事項を記録することが重要です。重大な問題が見つかった場合は、次回の月次点検を待たずに対応しましょう。

10．社長が決めたい5つの管理ルール

月次点検を継続するには、担当者と確認方法を明確にする必要があります。社長がすべての設定を操作する必要はありませんが、問題の報告を受け、必要な対応を進められる体制を整えることが大切です。

1. 月次点検の実施日と担当者を決める
2. 会社メール・アカウント・共有設定を確認する
3. 更新状況とバックアップの実行結果を確認する
4. 異常を発見したら速やかに報告・対応する
5. 改善事項の担当者と期限を記録する

11．朝礼でできる5分間の教育

月次点検に合わせて、社員にも情報セキュリティの基本を共有しましょう。例えば、月初の朝礼で不審メール、図面共有、アカウント管理などのテーマを一つ取り上げます。

一度に多くの内容を説明するより、社員がその日から実践できる確認事項を伝えることが大切です。異常に気づいた際の連絡先も毎回確認しておきましょう。

12．月次点検10項目チェックリスト

次の10項目を、社長と情報管理担当者で確認してください。問題が見つかった場合は、対応担当者と期限を決めて記録しましょう。

点検記録の残し方

点検記録には、実施日、担当者、確認対象、結果、問題点、対応担当者、期限、完了日を残しましょう。詳細な設定情報や認証情報を、誰でも閲覧できる記録に書き込まないよう注意してください。

13．まとめ｜確認して終わらせない

月1回の情報セキュリティ点検は、会社メール、アカウント、図面共有、端末の更新、バックアップなどの管理状況を見直す機会です。日常業務で見落としていた問題を発見し、必要な改善につなげることが重要です。

ただし、月次点検だけですべての事故を防ぐことはできません。不審なログインや情報漏えいの疑いなど、緊急性の高い問題は速やかに対応し、定期点検と日常の管理を組み合わせましょう。

参考資料

• IPA｜中小企業の情報セキュリティ対策ガイドライン
• IPA｜情報セキュリティ
• 個人情報保護委員会｜法令・ガイドライン等

建設会社の情報セキュリティ対策については、パキラのサイバーリスク情報サイトでも紹介しています。

※本記事は2026年10月25日時点の一般的な情報提供です。月1回・30分という頻度や時間は実務上の目安であり、すべての会社に十分な点検水準を保証するものではありません。