情報漏洩の原因と対策｜土木工事会社で起きやすい場面と報告

情報漏洩の主な原因は、メールや書類の宛先違いといった人のミス、外部からの不正アクセス、端末や書類の紛失・置き忘れの3つです。 IPAは、情報漏えいの原因として不正アクセス、内部犯行、電子メールの誤送信、Webでの誤公開、紛失・置忘れなどを挙げています。個人データが漏れた場合、要配慮個人情報が含まれる、1,000人を超えるなどの一定の場合には、個人情報保護委員会への報告（速報はおおむね3〜5日以内、確報は30日以内、不正の目的によるおそれがある場合は60日以内）と本人への通知が必要です。土木工事会社では、作業員名簿や健康診断の結果、発注者から預かった資料が漏れやすく、漏れたときの影響も大きい情報です。

この記事では、公的な統計で見る漏えいの原因、土木工事会社で漏れやすい情報と場面、場面別の対策、漏れたときの報告の手順をまとめます。

統計で見る情報漏洩の原因

個人情報保護委員会の「令和6年度 年次報告」によると、令和6年度に委員会が処理した個人データの漏えい等の報告は19,056件でした（委員会への直接報告14,198件、委任先省庁を経由したもの4,858件）。この件数には、社会保険・人事労務業務の支援システムを運営する事業者がランサムウェアの被害を受けた1つの事案に関する報告2,745件が含まれています。

同じ報告は、民間事業者の漏えい等の報告の類型では要配慮個人情報を含むものが最も多く（45.4％）、次いで不正アクセス等の不正の目的によるおそれがあるもの（39.9％）が多かったとし、主な要因として病院や薬局での要配慮個人情報を含む書類の誤交付などのほか、フィッシング詐欺によるものが多かったと記しています。1件あたりで漏えい等した人数は1,000人以下が最も多い（88.3％）とされています。

大量流出の事件より、少人数の情報が人のミスで漏れる事故のほうがずっと多い、というのが統計から読み取れる実態です。

土木工事会社で漏れやすい情報と場面

情報	例	漏れやすい場面
作業員の個人情報	作業員名簿、緊急連絡先、資格証の写し	協力会社からのメール添付、現場事務所での書類の放置
健康に関する情報	健康診断の結果、血圧などの記録	新規入場時の書類の受け渡し。要配慮個人情報にあたる場合がある
発注者から預かった資料	設計図書、未公表の図面、3次元設計データ	協力会社・測量会社との共有、USBメモリでの持ち運び
近隣住民の情報	工事説明の訪問記録、苦情の連絡先	現場の掲示や回覧の扱い
入札・取引の情報	入札前の積算、見積単価、取引先の口座	メールの誤送信、偽の請求書メール
社員の情報	給与、マイナンバー、人事	委託先（労務・会計）の被害

作業員名簿の記載事項は作業員名簿の書き方と記載例、新規入場時の書類は新規入場者教育の記事も参考にしてください。

場面別の対策

土木工事 業務改善Naviとして、IPAと個人情報保護委員会の資料にある対策を、土木工事の場面に当てはめたものです。

原因	土木工事での場面	対策
メールの誤送信	作業員名簿を別の協力会社に送ってしまう	宛先を送信前にもう一人が確認する。個人情報はメール添付で回さない（メール誤送信・標的型攻撃対策）
誤公開・共有設定のミス	クラウドの共有リンクを誰でも見られる設定にしてしまう	共有範囲を限定し、工事完了で共有を止める
紛失・置き忘れ	現場のタブレット、USBメモリ、名簿の紙を車内や現場に置き忘れる	端末の画面ロックと遠隔消去（MDM）、紙は施錠保管
不正アクセス	使い回しのパスワードで社内のクラウドに入られる	パスワードの強化と二段階認証
ランサムウェア	社内のファイルサーバーのデータが盗まれ、暗号化される	機器の更新と切り離したバックアップ（ランサムウェア対策）
委託先の被害	労務・会計の委託先が攻撃を受ける	委託先の対策を確かめ、預ける情報を必要な範囲に絞る（サプライチェーン攻撃）
生成AIへの入力	名簿や図面をそのままAIに読み込ませる	入力してよい情報のルールを決める（ChatGPTの情報漏洩対策）

個人情報保護委員会の「個人情報保護法 ヒヤリハット事例集」は、電子メールは宛先誤りや送信方法誤りによる漏えいのリスクが高いとして、送信の手続を定めることや、送信者以外の者が宛先を確認するといった工夫を挙げ、BCCに入れるべきアドレスをCCに入れて送りそうになった事例を紹介しています。

漏れたときの手順

IPAの「中小企業のためのセキュリティインシデント対応の手引き」と個人情報保護委員会の案内に沿って整理しました。

段階	やること
1. 検知・初動	気づいた人が責任者に報告する。外から見られる状態なら公開を止める・共有を切る。不用意な操作で記録を消さない
2. 範囲の確認	何の情報が、何人分、どこへ漏れたかを確かめる。工事・発注者に関係するかを整理する
3. 報告の判断	個人情報保護委員会への報告が必要な場合に当たるかを判断する（下の表）
4. 報告・連絡	委員会への速報・確報、本人への通知。犯罪性があれば警察、ウイルス感染や不正アクセスはIPAへ。発注者・元請への連絡
5. 再発防止	原因を分析し、ルール・仕組み・教育を見直す

個人情報保護委員会への報告が必要な場合

個人情報保護委員会の「漏えい等の対応とお役立ち資料」によると、民間事業者は次のいずれかに当たる漏えい等（そのおそれを含む）が起きたときに報告が必要です。

類型	内容	土木工事会社での例
要配慮個人情報	要配慮個人情報が含まれる個人データの漏えい等	作業員の健康診断の結果
財産的被害	不正利用により財産的被害が生じるおそれがある個人データの漏えい等	口座情報・カード情報
不正の目的	不正の目的で行われたおそれがある行為による漏えい等（第三者の盗難等を含む）	不正アクセス、ランサムウェア、名簿の盗難
1,000人超	本人の数が1,000人を超える漏えい等	大規模な名簿の流出

報告	期限
速報	発覚した日から3〜5日以内
確報	発覚した日から30日以内（不正の目的で行われたおそれがある場合は60日以内）

報告はWebの漏えい等報告フォームなどで行います。業種によっては、権限委任先の省庁へ報告することになっています。報告先は個人情報保護委員会のページで確かめてください。

日ごろの点検リスト

No.	確認すること	できていれば
1	作業員名簿・健康情報を、誰がどこに保管しているか分かる	☐
2	個人情報をメール添付で回さない運用にした	☐
3	外部に送るメールの宛先を確認する手順がある	☐
4	クラウドの共有リンクを工事完了で止めている	☐
5	現場のタブレット・USBメモリを台帳で管理している	☐
6	漏えいに気づいたときの報告先を全員が知っている	☐
7	個人情報保護委員会への報告の4類型と期限を責任者が知っている	☐

よくある質問

Q. 作業員1人分の健康診断の結果をメールで誤送信しました。報告は必要ですか。 A. 健康診断の結果は要配慮個人情報にあたる場合があり、要配慮個人情報が含まれる漏えい等は人数にかかわらず報告の対象です。誤送信先への削除依頼などの対応とあわせて、個人情報保護委員会の案内で確かめてください。

Q. 漏れたかどうか分からない場合も報告するのですか。 A. 報告の対象は「漏えい等が発生し、又は発生したおそれがある事態」です。おそれの段階でも対象になるので、迷ったら委員会のページで確かめ、速報の期限に間に合うよう動きます。

Q. 発注者から預かった図面が漏れた場合はどうすればよいですか。 A. 個人情報を含まない場合でも、契約書・特記仕様書の定めを確かめ、監督職員に速やかに連絡します。

まとめ

• 情報漏洩の原因は、人のミス、不正アクセス、紛失・置き忘れが中心
• 土木工事会社では、作業員名簿・健康情報・発注者の資料が漏れやすい
• 要配慮個人情報・財産的被害・不正の目的・1,000人超のいずれかに当たれば、委員会への報告と本人への通知が必要
• 速報は3〜5日以内、確報は30日以内（不正の目的のおそれがあれば60日以内）

出典・参考

• 個人情報保護委員会「漏えい等の対応とお役立ち資料」（報告対象の類型、速報・確報の期限、報告の方法）
  https://www.ppc.go.jp/personalinfo/legal/leakAction/
• 個人情報保護委員会「令和6年度 年次報告」（漏えい等事案に関する報告の処理状況等）
  https://www.ppc.go.jp/files/pdf/070610_annual_report.pdf
• 個人情報保護委員会「個人情報保護法 ヒヤリハット事例集」（電子メールの誤送信）
  https://www.ppc.go.jp/files/pdf/pd_hiyari01.pdf
• 独立行政法人情報処理推進機構（IPA）「中小企業のためのセキュリティインシデント対応の手引き」2026年6月（事象ごとの対応のポイント：情報漏えいの場合、報告・公表）
  https://www.ipa.go.jp/security/guide/sme/about.html

お問い合わせはこちら →