「見積書をそのまま生成AIに貼り付けても大丈夫だろうか」「協力会社と共有している図面が外に流れたらどうなるのか」。業務のデジタル化が進むほど、この種の不安はついて回ります。情報漏洩対策とは、そうした事故を防ぐために、ルール・人・仕組みの三方向から手を打つ取り組みのことです。この記事では、情報が漏れる典型的な経路、生成AIを使うときの線引き、中小の建設会社がまず着手できる基本の対策、社内ルールの組み立て方、そして万一のときの動き方までを、公的機関の資料を手がかりに整理します。
情報漏洩対策とは
情報漏洩対策とは、会社が預かっている情報が、外に出てはいけない形で外部に出てしまうのを防ぐ一連の取り組みを指します。建設会社であれば、施主の氏名や連絡先といった個人情報だけでなく、契約条件、協力会社ごとの単価、施工中の建物の図面や設備の配置、職人の名簿なども対象になります。専門的には「機密性を守る活動」と説明されますが、現場の言葉に置き換えるなら、見せてよい相手にだけ、見せてよい情報が届いている状態を保つこと、と考えると分かりやすいでしょう。
よく似た言葉に「情報セキュリティ対策」があります。こちらは漏洩の防止に加えて、データが勝手に書き換わらないこと（完全性）、必要なときに使えること（可用性）まで含む、より広い考え方です。近年被害の目立つランサムウェアは、データを暗号化して使えなくしたうえで、盗んだ情報の公開をちらつかせて金銭を要求する手口が主流とされます。漏れると同時に業務も止まるため、実務では漏洩対策とセキュリティ対策をひとまとめに考えるほうが現実的です。
なぜいま建設業で気をつけたいのか
個人情報保護委員会が公表した令和6年度の年次報告によると、個人情報保護法にもとづく漏えい等報告の処理件数は19,056件で、前年度の12,120件から大きく増えたとされています。件数の増加には報告制度の浸透という側面もありますが、事故が珍しい出来事ではなくなっているのは確かです。
脅威の側にも変化があります。IPA（情報処理推進機構）が2026年1月に公表した「情報セキュリティ10大脅威 2026」の組織編では、ランサム攻撃による被害が引き続き1位、サプライチェーンや委託先を狙った攻撃が2位に挙げられました。そのうえで、この年に唯一の初選出として3位に入ったのが「AIの利用をめぐるサイバーリスク」です。AIを業務に入れる動きが広がったことで、AIの使い方そのものが脅威として数えられる段階に入った、と読み取れます。
建設業には固有の事情もあります。ひとつの工事に元請・下請・設計・メーカーと多くの会社が関わり、図面や工程表、発注情報がクラウドやメールで日常的に行き来します。関係者が多いぶん入口も多く、自社の対策だけでは守りきれない構造になりがちです。実際、建設関連企業がランサムウェア被害を公表し、暗号化されたデータの一部がダークウェブ上に公開された事例も報じられています（ScanNetSecurity「暗号化された情報の一部 ダークサイト公開 ～ 日本海建設にランサムウェア攻撃」）。
情報が漏れる三つの経路
対策を考えるときは、漏れ方を三つに分けて眺めると整理しやすくなります。かける手間も、効きやすい打ち手も、経路ごとに違うためです。
うっかりミスによるもの
宛先を間違えたメール、別の物件の資料を添付したままの送信、共有フォルダの公開範囲の設定ミス、書類やUSBメモリの紛失。前掲の個人情報保護委員会の年次報告でも、報告された漏えいの原因として誤交付や誤送付が大きな割合を占めていました。派手さはありませんが、件数でいえばここが最大の入口です。攻撃者と戦う話ではなく、送信前の確認手順や、共有リンクに期限を付ける運用といった、地味な仕組みづくりが効きます。
外部からの攻撃によるもの
取引先を装ったメールの添付ファイルを開いてしまう、社外から使えるようにしていた機器の古い脆弱性を突かれる、使い回していたパスワードが流出して社内システムに侵入される、といった経路です。中小企業だから狙われないという想定は成り立ちません。むしろ、対策の手薄な会社を踏み台にして、その先の大手や発注者を狙うサプライチェーン型の攻撃が問題になっています。
AIやクラウドへの入力によるもの
個人が契約した無料版のチャットサービスに、社外秘の見積や施主の氏名を貼り付けてしまう。会社が把握していないアプリを担当者が勝手に使い始める。こうした会社の管理外で業務データが持ち出される状態は、攻撃を受けていないのに情報が外に出るという意味で厄介です。まずは生成AIが入力データをどう扱うのかを、使う側が理解しておく必要があります。
生成AIを使うときの情報漏洩対策
生成AIを禁止してしまえば漏洩の心配はなくなりますが、それでは業務改善の芽も摘んでしまいます。実務的な落としどころは、使ってよい道具と、入れてよい情報の範囲をあらかじめ決めておくことです。総務省と経済産業省がまとめた「AI事業者ガイドライン」でも、AIを使う事業者に対して、リスクを把握したうえで社内の方針や体制を整えることが求められています。
- 会社として契約した法人向けプランやビジネス向けの環境に一本化し、個人アカウントでの業務利用はしない
- 入力した内容がモデルの学習に使われる設定になっていないか、契約前と設定変更のたびに確認する
- 施主の氏名・住所、契約金額、協力会社の単価、未公表物件の図面など、入力してはいけない情報の一覧を作る
- どうしても相談したい内容は、社名や個人名を伏せ字にしたり、金額を丸めたりして、特定できない形に直してから入力する
- 会社が許可していないツールを業務で使わない（シャドーITの禁止）ことを、明文で示す
- AIの回答は下書きとして扱い、数値や法令に関わる部分は必ず人が原典で確かめる
とはいえ、契約形態の確認や設定のチェックを本業のかたわらで進めるのは負担が大きい作業です。どこから手を付けるか判断がつかない場合は、業務の棚卸しから伴走するAI番頭のサービスのような外部の支援を使い、対象業務を絞って小さく試すところから始めるのが現実的です。
まず着手したい基本の対策
IPAは中小企業向けに「情報セキュリティ対策ガイドライン」を無償で公開しており、最初に取り組むべき基本として次の項目を挙げています。専門の担当者がいない会社でも着手できる内容で、自己宣言制度のSECURITY ACTIONで一つ星を宣言する際の土台にもなります。
1OSやソフトウェアを最新の状態に保つ
パソコンや業務ソフトの更新を後回しにしないこと。古いまま放置された機器の弱点が、侵入の入口になります。現場のタブレットや共用パソコンは更新漏れが起きやすいので、担当者と点検日を決めておきます。
2ウイルス対策ソフトを導入する
会社が用意した対策ソフトを全端末に入れ、定義ファイルが自動更新される状態にします。個人所有の端末を業務に使っている場合は、その扱いも合わせて決めておきます。
3パスワードを強くする
長く、他のサービスと使い回さないこと。加えて、SMSや認証アプリを使った多要素認証を有効にすると、パスワードが漏れた場合の被害をかなり抑えられます。
4共有設定を見直す
クラウドストレージの共有リンクが「リンクを知る全員」になっていないか、退職した社員や終わった工事の関係者がアクセスできたままになっていないかを定期的に確認します。
5バックアップを取る
ランサムウェアに暗号化されても復旧できるよう、ネットワークから切り離した場所にも控えを残します。取るだけでなく、実際に戻せるかを一度試しておくことが大切です。
6脅威や攻撃の手口を知る
どんな手口が流行しているかを知っておくだけで、不審なメールに気づく確率が上がります。IPAの注意喚起や業界団体の情報を、朝礼や月次の会議で共有する習慣をつけます。
社内ルールの作り方
道具をそろえても、使う人の判断がばらついていては漏洩は防げません。とはいえ、分厚い規程を作っても読まれずに終わります。中小の建設会社であれば、A4で一、二枚に収まる分量で、次の順に決めていくのが現実的です。
1守る情報を洗い出す
施主情報、図面、見積・原価、協力会社の単価、社員と職人の個人情報など、社内にある情報を書き出します。完璧を目指さず、漏れたら困る順に並べるだけで十分です。
2情報を三段階に分ける
「社外に出しても構わない」「社内限り」「限られた担当者のみ」の三段階に仕分けます。段階が多いほど運用は難しくなるので、三つ程度に抑えるのがこつです。
3使ってよい道具を決める
メール、クラウドストレージ、チャット、生成AIについて、会社が許可したサービスを名指しで挙げます。許可リストの形にしておくと、新しいツールを使いたいときの相談経路も自然に決まります。
4段階ごとの取り扱いを決める
先に分けた三段階と、許可した道具を掛け合わせて、どの情報をどこまで入れてよいかを表にします。生成AIについては、社内限り以上の情報は加工せずに入力しない、といった線引きを明記します。
5周知して定期的に見直す
配って終わりにせず、入社時と年に一度は説明の機会を設けます。新しいツールが増えたり、サービスの仕様が変わったりしたときに更新できるよう、担当者と見直し時期も書き添えておきます。
6事故が起きたときの連絡経路を決める
誰に、どの順番で伝えるかを一行で決めておきます。個人データの漏えいでは個人情報保護委員会への報告や本人への通知が必要になる場合があるため、判断を担う責任者を先に決めておくと動きが早くなります。
取り組むメリットと注意点
もうひとつ気をつけたいのが、対策を担当者一人に背負わせないことです。IPAのガイドラインが経営者向けの章から始まっているのは、予算や体制の判断が経営の役割だからです。誰がどこまで決めてよいのかを最初にはっきりさせておくと、現場の判断も速くなります。
よくある質問
生成AIに社内の資料を入れても大丈夫ですか
資料の中身と、使っているプランの設定によります。会社が契約した法人向け環境で、入力内容が学習に使われない設定になっていれば、社内限りの資料まで扱っている会社もあります。一方、個人契約の無料プランでは、社外秘の情報を入れない前提で考えるのが安全です。まずは自社が使っている契約形態と設定を確認するところから始めてください。
何から始めればよいか分かりません
パスワードの使い回しをやめて多要素認証を有効にすること、そしてバックアップを取ることの二つが、費用のわりに効果の大きい対策です。IPAの中小企業向けガイドラインには自社の状況を確かめる診断シートも付属しているので、現状把握の出発点として使えます。
情報が漏れてしまったときはどうすればよいですか
被害の拡大を止めることが最優先です。感染が疑われる端末をネットワークから切り離し、経営者に報告したうえで、専門業者や取引先への連絡に移ります。個人データが関わる場合は個人情報保護委員会への報告や本人への通知が必要になることがあるため、具体的な対応は個人情報保護委員会の案内を確認し、必要に応じて弁護士や専門機関に相談してください。
協力会社の対策まで気にする必要がありますか
図面や発注情報を渡している以上、無関係ではいられません。IPAの10大脅威でもサプライチェーンや委託先を狙った攻撃が上位に挙げられています。すべてを管理するのは難しいので、共有する情報を必要な範囲に絞る、共有リンクに期限を設ける、といった自社側の運用で守れる部分から手を付けるのが現実的です。
関連用語
生成AI文章や画像をつくり出すAIの総称。入力データの扱いを理解するための出発点です。 ChatGPT業務で使われることの多い対話型AI。個人向けと法人向けで扱いが変わります。 CDE（共通データ環境）図面や資料を関係者で共有する仕組み。権限設定が漏洩対策の要になります。 PoC（概念実証）本格導入の前に小さく試す工程。安全性の確認を組み込む場としても使えます。情報漏洩対策は、一度に完成させるものではありません。守る情報を書き出し、道具を決め、基本の設定を整える。この三つを回しながら、少しずつ範囲を広げていくのが遠回りのようで近道です。