情報漏洩の原因と対策｜建設会社の作業員名簿・図面の守り方

情報漏洩の原因は、パソコンやUSBメモリの紛失、メールの誤送信、内部不正といった「内部要因」と、標的型攻撃メール、ウイルス感染、ソフトウェアのぜい弱性を突く攻撃といった「外部要因」に大きく分かれます。 対策は原因ごとに違い、紛失には暗号化と持ち出しのルール、誤送信には送信前の確認の仕組み、外部からの攻撃には更新・認証・監視を当てます。個人データが漏れ、要配慮個人情報が含まれる場合や本人の数が1,000人を超える場合などは、個人情報保護委員会への報告と本人への通知が法律上の義務になります。

元請の建設会社は、協力会社の作業員の氏名・生年月日・社会保険の加入状況、発注者の担当者の連絡先、近隣の住民の連絡先、建物の図面と、種類の違う情報を同時に預かっています。この記事では、建設会社の情報の置き場所ごとに原因と対策を整理し、漏れてしまったときの報告の期限まで確かめます。

原因は「内部要因」と「外部要因」に分かれる

日本損害保険協会は、サイバーリスクを内部要因と外部要因の2種類に分けて説明しています。

区分	主な原因	建設会社での場面
内部要因	パソコン・USBメモリの盗難や紛失	作業所のノートPCや図面を入れたUSBメモリを車や現場に置き忘れる
内部要因	メール誤送信などの組織内部の過失	作業員名簿を別の協力会社に送る。共有フォルダの公開範囲を間違える
内部要因	内部不正（機密情報の持ち出しなど）	退職する社員が見積や顧客の情報を持ち出す
外部要因	標的型攻撃メール	協力会社や設計事務所を装ったメールの添付ファイルを開く
外部要因	ウイルス感染（ランサムウェアなど）	侵入した攻撃者にデータを盗まれ、公開すると脅される
外部要因	ソフトウェアのぜい弱性を悪用する攻撃	更新していないVPN機器や作業所のルーターから侵入される

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」でも、組織向けに「ランサム攻撃による被害」（1位）、「機密情報を狙った標的型攻撃」（5位）、「内部不正による情報漏えい等」（7位）が並んでいます。外からの攻撃だけでなく、内側の過失や不正も同じ重さで扱う必要があります。

公表されている漏洩の事例

公的機関の資料には、実際に起きた漏洩の事例が載っています。

• ランサムウェアによる大規模な漏洩: 警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」は、2025年9月に飲料メーカー大手が、ランサムウェア攻撃で顧客や従業員等の個人情報約191万件が漏えいまたはそのおそれがあると公表した事例を紹介しています。同年10月には通販大手でも、約74万件の個人情報に漏えいのおそれがあると判明したとしています
• 建設業でのパソコン紛失: IPAの「中小企業の情報セキュリティ対策ガイドライン 第4.0版」は、建設業（石川県、従業員規模101〜300名）で、顧客情報の入ったパソコンを持ち出した際に紛失し、顧客の信用を失った事例を紹介しています。原因は、持ち出しに関する明確なルールや手続きがなかったことでした

大きな会社の事件として遠くに感じる攻撃と、身近な置き忘れの両方が、同じ「情報漏洩」として扱われます。

元請の情報の置き場所と、原因別の対策

情報	主な置き場所	起きやすい原因	対策
作業員名簿・施工体制台帳	作業所のPC、共有フォルダ、紙のファイル	誤送信、共有範囲の設定ミス、紛失	名簿は決めた共有の仕組みで受け渡し、メールに添付しない。紙は作業所で施錠保管
発注者の情報・建物の図面	クラウドストレージ、作業所の端末	端末の紛失、協力会社アカウントの放置	端末の暗号化と遠隔ロック。竣工時に協力会社の共有を停止
見積・実行予算・契約書	本社のサーバー、会計システム	内部不正、ランサムウェア	アクセス権を役職で分け、退職時にすぐ止める。バックアップを取る
近隣住民の連絡先	作業所の名簿、メール	紛失、誤送信	必要な人だけが持ち、工事が終わったら廃棄のルールを決める
工事写真	社用端末、個人のスマートフォン	個人端末からの流出	業務の写真は社用端末か、会社が管理する仕組みに集める

施工体制台帳には、建設工事に従事する人の氏名、生年月日、年齢、職種、社会保険の加入状況なども記載します（建設業法施行規則第14条の2）。安全書類の様式によっては健康状態に関する項目を集めている場合もあります。健康診断の結果は要配慮個人情報（不当な差別などが生じないよう、取り扱いに特に配慮が必要な個人情報）に当たるため（個人情報保護法施行令第2条）、集めている項目を一度確かめてください。台帳そのものの作り方は施工体制台帳の作り方で解説しています。

IPAのガイドラインは、従業員の情報や取引先の名刺も個人情報に当たり、従業員名簿やメールのアドレス帳を作っている事業者は、保有する個人情報が少なくても個人情報保護法が適用されると説明しています。「うちは個人情報をあまり扱っていない」と考えている建設会社でも、実際には作業員名簿という大きな個人データを持っています。

漏れたときの報告：期限の早見表

個人情報保護法第26条と同法施行規則第7条は、次のいずれかに当たる個人データの漏えい等（漏えい、滅失、毀損）が発生した、または発生したおそれがあるときに、個人情報保護委員会への報告を義務づけています。

1. 要配慮個人情報が含まれる個人データ（高度な暗号化などの措置を講じたものを除く）の漏えい等
2. 不正に利用されると財産的被害が生じるおそれがある個人データの漏えい等
3. 不正の目的をもって行われたおそれがある行為による個人データの漏えい等（不正アクセスなど）
4. 本人の数が1,000人を超える個人データの漏えい等

手続き	期限	根拠
速報	知った後、速やかに（個人情報保護委員会は発覚日から3〜5日以内を目安として示している）	施行規則第8条第1項、個人情報保護委員会「漏えい等の対応とお役立ち資料」
確報	知った日から30日以内（3の不正目的の場合は60日以内）	施行規則第8条第2項
本人への通知	状況に応じて速やかに	法第26条第2項、施行規則第10条

要配慮個人情報が含まれる場合は、人数にかかわらず報告の対象になります。一方で、高度な暗号化などの措置を講じていれば1の対象から外れるため、名簿を保存する端末や媒体を暗号化しておくことには、漏洩そのものを防ぐだけでなく、事後の負担を減らす意味もあります。ランサムウェアで侵入された場合は、3の不正目的に当たるかどうかの判断も必要です（初動はランサムウェア対策と感染したら参照）。

個別の事案が報告の対象になるかどうかは、個人情報保護委員会のガイドラインや窓口で確かめてください。

【チェックリスト】漏洩に気づいたときの最初の1時間

順番	すること
1	漏れた可能性のある情報、件数、相手（誤送信先など）を確かめて記録する
2	誤送信なら相手に連絡して削除を依頼する。共有設定のミスならすぐに公開を止める
3	端末の紛失なら遠隔ロックをかけ、パスワードを変える
4	経営者と、個人情報の窓口になる担当者に報告する
5	要配慮個人情報の有無、件数、不正目的の可能性から、報告の対象になるかを判断する
6	協力会社・発注者に伝える内容と順番を決める

最初の1時間を左右するのは、報告をためらわない職場かどうかです。誤送信や紛失を隠すと、報告の期限を過ぎてしまうおそれがあります。

よくある質問

Q. 作業員名簿をメールで誤って別の協力会社に送ってしまいました。報告が必要ですか。 A. 名簿に要配慮個人情報（健康診断の結果など）が含まれていれば、人数にかかわらず報告の対象になります。含まれていない場合でも、本人の数が1,000人を超えるときなどは対象です。どちらにしても、まず相手に削除を依頼し、送った内容を正確に記録してから判断してください。

Q. 協力会社から受け取った名簿が、協力会社側で漏れた場合はどうなりますか。 A. 協力会社が自社で管理している情報の漏えいは、基本的にその会社が対応します。ただし、元請と共有している仕組みから漏れた場合は、元請も原因の調査と再発防止に関わることになります。共有の入口の管理はサプライチェーン攻撃とはで整理しています。

Q. 紙の書類の紛失も情報漏洩に当たりますか。 A. 当たります。IPAの自社診断にも、重要情報が記載された書類や電子媒体を机上に放置せず保管しているか、持ち出す時に盗難や紛失の対策をしているか、という項目があります。

まとめ

情報漏洩は、紛失・誤送信・内部不正という内側の原因と、攻撃という外側の原因の両方から起こります。元請の建設会社は、作業員名簿、発注者の図面、見積という性質の違う情報を預かっているので、情報ごとに置き場所と原因を洗い出して対策を当ててください。名簿を暗号化して保管し、漏れたら速やかに報告できる体制を作っておくことが、作業員と協力会社の信頼を守ります。

出典・参考

• 個人情報の保護に関する法律 第26条（e-Gov法令検索）: https://laws.e-gov.go.jp/law/415AC0000000057
• 個人情報の保護に関する法律施行規則 第7条・第8条・第10条（e-Gov法令検索）: https://laws.e-gov.go.jp/law/428M60020000003
• 個人情報の保護に関する法律施行令 第2条（e-Gov法令検索）: https://laws.e-gov.go.jp/law/415CO0000000507
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」: https://www.ppc.go.jp/personalinfo/legal/leakAction/
• 建設業法施行規則 第14条の2（e-Gov法令検索）: https://laws.e-gov.go.jp/law/324M50004000014
• 日本損害保険協会「サイバー保険」: https://www.sonpo.or.jp/cyber-hoken/
• 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」: https://www.npa.go.jp/publications/statistics/cybersecurity/index.html
• IPA（情報処理推進機構）「情報セキュリティ10大脅威 2026」、「中小企業の情報セキュリティ対策ガイドライン 第4.0版」: https://www.ipa.go.jp/security/guide/sme/about.html

※ 2026年10月14日時点で各資料を確認しています。