小規模建設業の情報セキュリティ｜専門担当者を置けない会社はどうする？

小規模な建設会社であっても、情報セキュリティへの対応は避けて通れません。

会社の規模にかかわらず、取引先から預かった情報や自社が保有する情報を、適切に管理する責任があります。

では、情報セキュリティの専門担当者を置くことが難しい小規模建設業者は、どう対応すればよいのでしょうか。

この記事では、小規模建設業者が情報セキュリティに対応するうえでの課題を整理し、経営者として何を判断すべきかを考えます。

① 建設業者に求められる情報セキュリティ

小規模な建設会社であっても、情報セキュリティへの取り組みを社外に説明できることが重要になっています。

建設業では、元請業者や発注者など、複数の企業が関わりながら工事を進めます。そのため、自社だけでなく、取引先を含めた情報管理が重視されています。

では、取引先から「御社では情報セキュリティにどのように取り組んでいますか」と尋ねられたとき、会社として何を提示できるでしょうか。

情報セキュリティ基本方針を提示できるか

会社の情報管理に対する姿勢を示すものの一つが、「情報セキュリティ基本方針」です。

一般の民間建設会社に、基本方針をWebサイトなどで一律に公開する法的義務があるわけではありません。しかし、元請業者や発注者から情報管理について説明を求められたとき、文書化された方針があれば、自社の取り組みを伝えやすくなります。

また、IPAの「SECURITY ACTION（二つ星）」では、情報セキュリティ基本方針を策定し、外部に公開することが宣言の条件となっています。補助金などの申請で、この宣言が要件とされる場合もあります。

一方、小規模建設業者の中には、自社のWebサイトを持たない会社もあるでしょう。

その場合、基本方針をWebサイトで公開すること自体ができません。取引先に文書を提示する方法はありますが、制度上、一般への公開が求められる場合には、別の公開方法も検討する必要があります。

自社の情報セキュリティ方針を定めているか。そして、必要な相手にその方針を示せるか。

まず確認したいのは、この点です。

公開した方針どおりに運用できているか

ただし、情報セキュリティ基本方針を策定し、公開すれば、それで対応が終わるわけではありません。

例えば、基本方針に「取引先から預かった情報を適切に管理する」と記載している会社を考えてみましょう。

元請業者から受け取った工事図面は、誰が保管しているでしょうか。現場の担当者とは、どのような方法で共有しているでしょうか。工事が終わった後の取り扱いは決まっているでしょうか。

基本方針を公開していても、こうした日常業務での管理方法が決まっていなければ、掲げた方針を実行できているとは言えません。

また、経営者が方針を理解していても、現場や事務の担当者に伝わっていなければ、社内での運用は担当者任せになってしまいます。

社外に示した方針と、社内で実際に行っていることが一致しているか。

ここまで確認して初めて、会社として情報セキュリティに取り組んでいると説明できるのではないでしょうか。

方針を示す責任と、実行する責任

情報セキュリティ基本方針の公開は、すべての建設会社に一律に義務付けられているものではありません。

しかし、個人データの安全管理措置など法律上求められる対応はありますし、取引先との契約によって情報管理のルールが定められる場合もあります。

経営者として考えるべきなのは、単に基本方針を公開するかどうかではありません。

社会や取引先から求められる情報管理について、自社の考え方を示せているか。そして、その内容を実際に守れる会社になっているか。

ここで次の問題が出てきます。

方針を定め、社員に伝え、日々の運用を確認する。その仕事を、社内の誰が担うのでしょうか。

元請との取引では、情報管理だけでなく、工事契約書や注文書・請書の内容を確認することも重要です。契約書類の確認ポイントは、下請建設業者の工事契約書・注文書・請書の確認ポイントで解説しています。

② 情報セキュリティを担う人員を確保できるか

情報セキュリティ基本方針を策定し、社外に示すことはできても、その方針を社内で実行し続けるには担当者が必要です。

方針を社員に伝え、日々の情報管理を確認し、問題が起きたときには対応する。こうした仕事は、方針を文書にまとめただけでは進みません。

では、小規模な建設会社で、その仕事を誰に任せられるでしょうか。

従業員15人の建設会社なら誰が担当するか

例えば、従業員15人の設備工事会社を考えてみましょう。

現場や施工管理を担当する社員が13人、事務担当者が2人。事務担当者は、経理や労務、請求業務、建設業許可関係の書類整理などを分担しています。

この会社で情報セキュリティの担当者を決めるとしたら、どうなるでしょうか。

事務担当者のどちらかに兼務してもらうことは考えられます。しかし、普段の事務作業に加えて、情報セキュリティの知識を身につけ、社内の運用状況まで確認する時間を確保できるでしょうか。

一方、専任の担当者を新たに雇うとなれば、従業員15人の会社にとっては大きな人員投資になります。

情報セキュリティが必要なことは分かっていても、それを担う人をどこから確保するのか。

ここが小規模建設業者にとって、現実的な問題になります。

「ひとり情シス」すら置けない会社もある

社内の情報システムを1人で担当する体制は、一般に「ひとり情シス」と呼ばれます。

例えば、従業員100人程度の会社なら、総務などを兼務する管理職の下に、情報システム専任の社員を1人置く体制も考えられます。

しかし、従業員15人の会社ではどうでしょうか。

工事を受注し、現場を動かすための人員が必要な中で、情報システムの仕事だけを担当する社員を1人配置するのは簡単ではありません。

これは情報セキュリティに限った問題ではありません。

契約書の確認や建設業法への対応が必要だからといって、専任の法務担当者を置ける会社ばかりではないでしょう。経理や労務についても、少人数の事務担当者が兼務している場合があります。

会社に必要な仕事が増えても、その仕事ごとに専門担当者を増やせるわけではありません。

担当者を決めれば済む問題なのか

では、事務担当者を「情報セキュリティ担当」に任命すれば、それでよいのでしょうか。

例えば、取引先から情報管理に関する質問票が届いたとします。

担当者は、社内のパソコンや情報の管理状況を確認し、質問に回答しなければなりません。回答内容によっては、会社として実施している対策を説明する必要もあります。

そのとき、担当者が社内の状況を把握していなかったり、質問の意味を判断できなかったりすれば、名前だけ担当者を決めていても対応できません。

もちろん、すべてを専任者が行わなければならないわけではありません。兼務で対応できる範囲もあるでしょう。

しかし、担当者を任命することと、その担当者が仕事を遂行できることは別です。

経営者は、誰に任せるかだけでなく、その人に必要な知識や時間を確保できるのかを考える必要があります。

社内だけで難しいのであれば、外部の専門家に支援を求める方法もあります。ただし、その場合には、専門家の知識や時間を確保するための費用が問題になります。

③ 情報セキュリティを担う人材をどう確保するか

情報セキュリティへの対応は、専門担当者がいなくても会社として果たさなければなりません。そのため、経営者は必要な専門人材をどのような形で確保するかを考える必要があります。

小規模建設業者が検討できる方法は、主に次の四つです。

それぞれの方法には、確保できる人材や対応範囲に違いがあります。

正社員の採用は現実的か

従業員15人程度の建設会社が、情報セキュリティの専門人材を正社員として採用するのは、現実的にはかなり難しいでしょう。

専門人材を採用するには、知識や経験に見合う報酬だけでなく、能力を発揮できる組織体制や職場環境も必要だからです。

例えば、採用後にパソコンの不具合対応から一般事務まで一人で任せる体制では、専門性を発揮できる職場とは言いにくいでしょう。必要な対策を実施する予算や権限もなければ、専門人材から就職先として選ばれることは難しくなります。

さらに、常勤の専門人材を必要とするだけの業務量があるかも問題です。

副業・兼業人材を活用できるか

常勤での採用が難しければ、副業・兼業人材に限られた時間だけ働いてもらう方法があります。

必要な時間だけ専門知識を活用できるため、正社員を常勤で雇うよりも費用を抑えられる可能性があります。

例えば、ほかの会社で情報セキュリティを担当している人に、土曜日だけ勤務してもらい、社内ルールの整備や定期的な確認を任せる方法です。

ただし、勤務日以外の対応をどうするかは決めておかなければなりません。平日に情報漏えいが疑われる事態が起きた場合、土曜日まで対応を待つわけにはいかないからです。

なお、副業人材を雇用する場合は、本人の勤務先の副業ルールや労働時間の管理にも注意が必要です。

派遣社員を受け入れられるか

派遣社員の受け入れも選択肢ですが、希望する条件で専門人材を確保できるとは限りません。

情報セキュリティには専門知識が必要であり、勤務日数や業務内容によっては、条件に合う人材を見つけることが難しいためです。

例えば、週2日だけ勤務し、社内の情報管理を点検できる人材を希望しても、その条件で派遣を受けられるかは派遣会社への確認が必要です。

また、派遣社員に日常業務を任せる場合も、社内の指揮命令体制を整える必要があります。

業務委託で専門性を確保できるか

専門人材を社内に配置することが難しい場合は、必要な業務を外部に委託する方法があります。

業務委託であれば、専門家を常勤で確保するのではなく、自社に必要な仕事について支援を受けられるからです。

例えば、情報セキュリティ方針の整備について助言を受ける、社内の管理状況を点検してもらう、パソコンの設定作業を依頼するといった方法が考えられます。

ただし、相談、点検、設定作業、緊急対応は、それぞれ異なる業務です。契約で依頼した範囲を超える対応まで受けられるわけではありません。

そのため、何を委託するのか、日常の管理や緊急時の対応を誰が担うのかを明確にする必要があります。

人材確保の方法は組み合わせてもよい

情報セキュリティを担う人材は、一つの方法だけで確保する必要はありません。

日常的な管理と専門的な判断では、必要な知識や対応時間が異なるためです。

例えば、普段の情報管理は社内の事務担当者が行い、専門的な問題は外部の事業者に相談する体制も考えられます。必要に応じて、設定作業だけを別の専門業者に依頼することもできます。

重要なのは、会社として必要な対応を途切れさせないことです。

そのためには、経営者が自社に必要な専門性と対応範囲を把握し、適切な人材確保の方法を選ぶ必要があります。

しかし、情報セキュリティの専門知識がなければ、何を誰に任せるべきかを判断すること自体が難しい場合もあります。

では、そのような経営者は、最初に誰へ相談すればよいのでしょうか。

④ 情報セキュリティの悩みを誰に相談するか

情報セキュリティの専門担当者を置けない小規模建設業者にとって、まず必要なのは、自社の問題を相談できる相手を確保することです。

専門知識がなければ、どのような人材が必要なのか、どの業務を外部に委託すべきなのかを判断することも難しいからです。

例えば、元請業者から情報セキュリティに関する質問票が届いても、質問の意味が分からなければ、回答するために何を確認すべきか判断できません。

この段階で必要なのは、必ずしも新しいセキュリティ製品の導入ではありません。自社が何を求められているのか、現状で何ができているのかを整理することです。

相談する内容によって相手は異なる

情報セキュリティの相談先は、解決したい問題によって選ぶ必要があります。

方針や社内ルールを考える相談と、パソコンの設定作業を依頼することでは、必要な専門性が異なるためです。

例えば、相談内容によって次のような相手が考えられます。

一つの相談先ですべての問題を解決できるとは限りません。

そのため、経営者が最初から専門業者を正確に選べなくても、相談内容を整理し、必要に応じて適切な専門家につなげられる相手がいると、対応を進めやすくなります。

建設業の実務を理解している相手に相談する

小規模建設業者の場合、ITの知識だけでなく、建設業の仕事の進め方を理解している相手に相談できることも重要です。

情報の管理方法は、現場と事務所の働き方に合わせて考える必要があるからです。

例えば、工事図面を現場担当者と共有する場合、事務所のパソコンだけを前提に管理方法を決めても、実際の業務に合わないことがあります。

また、元請業者から求められる情報管理と、建設業許可や工事契約書に関する相談は別の問題ですが、小規模建設会社の経営者にとっては、どれも日常の経営課題です。

それぞれの問題について、最初にどこへ相談すればよいか分かるだけでも、経営者の負担は変わります。

情報セキュリティの相談先を持つという選択肢

専門担当者を置けない小規模建設業者にとって、情報セキュリティについて相談できる相手を確保することも、人材不足を補う方法の一つです。

経営者がすべての専門知識を持つことは難しくても、必要なときに助言を受けられれば、自社の課題や対応方法を検討しやすくなるからです。

例えば、元請業者から情報管理に関する質問票が届いたとき、何を確認すればよいのか分からない場合があります。また、不審なメールへの対応やバックアップの考え方について、判断に迷うこともあるでしょう。

こうしたとき、まず状況を相談できる相手がいれば、必要な対応を整理できます。

ただし、相談先を確保することと、実際の情報セキュリティ対策を実施することは別です。 設定作業や専門的な調査が必要になれば、それに対応できる事業者へ依頼する必要があります。

重要なのは、経営者が専門知識の不足を理由に対応を止めないことです。

情報セキュリティに対する経営責任を果たすために、必要な知識や支援を外部から確保する。 相談先を持つことは、そのための現実的な一歩です。

建設業の実務とITの悩みを相談できる顧問サービス

情報セキュリティの相談に加え、工事契約書や建設業許可に関する相談にも対応しています。

まとめ｜専門担当者を置けなくても、経営者として考えることはある

小規模建設業者であっても、情報セキュリティへの対応を避けることはできません。

元請業者や発注者から情報管理について説明を求められたとき、自社の方針を示せること。そして、その方針に沿った管理を日々の業務で実行できることが重要です。

しかし、従業員15人程度の建設会社が、情報セキュリティの専門担当者を正社員として確保するのは現実的に難しいでしょう。

だからこそ、正社員の採用だけにこだわらず、副業・兼業人材、派遣社員、業務委託など、必要な専門性を確保する方法を検討する必要があります。

情報セキュリティの仕事を誰かに任せることはできても、会社として対応する経営責任まで任せることはできません。

経営者がすべての専門知識を持つ必要はありませんが、必要な人材や相談先を確保し、自社の情報管理を実行できる体制を整えることは、経営者の役割です。

補足｜セキュリティツールを導入すれば解決するのか

専門人材を確保できないなら、セキュリティツールを導入すればよい。そう考えても、小規模建設業者には別の壁があります。

例えば、従業員15人の建設会社が、社内のパソコン15台に法人向けセキュリティ製品を導入しようとした場合です。

セキュリティツールを購入することと、会社として情報セキュリティに対応できる体制を整えることは別です。

専門担当者を置けない会社では、製品の価格や機能だけでなく、契約から導入、運用、問題発生時の対応まで、誰が担うのかを確認する必要があります。