協力会社のセキュリティ管理はどこまでやるべき？元請けの責任と実務
contech「自社のセキュリティ対策はしっかりやっている。でも、協力会社のことまでは把握できていない」
こう感じている元請け企業の担当者は少なくないはずです。
実際、サイバー攻撃の多くは、対策が手薄な取引先を経由して本丸を狙う「サプライチェーン攻撃」の形を取ります。
建設業は元請け・協力会社・専門工事業者による多重下請け構造が特徴のため、この形の攻撃に対して特に脆弱だといえます。
この記事では、協力会社のセキュリティ管理について、元請けとしてどこまで責任を負うべきか、そして実務としてどこまでやるべきかを整理します
「協力会社経由」の被害が増えている背景
サイバー攻撃者にとって、セキュリティ対策が万全な大手ゼネコンを直接狙うより、その取引先である中小の協力会社を経由する方が、はるかに侵入しやすいという事情があります。
協力会社の端末やネットワークを踏み台にされると、そこから元請けのシステムやデータに被害が及ぶことがあります。さらに、複数の元請けと取引がある協力会社が攻撃を受ければ、被害はその協力会社の取引先すべてに連鎖的に広がる可能性もあります。
つまり、「自社さえ守れば安全」という考え方は、建設業の取引構造そのものと相性が悪いのです。
元請けには、自社だけでなく、取引先を含めた「面」としてのセキュリティ管理が求められています。
建設業全体のリスク像については、こちらで詳しく解説しています。
建設業のサイバーセキュリティ対策｜今すぐ見直すべき5つのリスク
建設業がサイバー攻撃の標的になっている理由と、仮設ネットワーク・協力会社管理・私物端末利用など建設現場特有の5つのリスクを解説。今日から始められる対策チェックリ…
建設・不動産セキュリティ顧問 元請けが負う管理責任の範囲
とはいえ、協力会社の社内システムをすべて元請けが管理する、というのは現実的ではありません。
ここでは、元請けとして負うべき責任の範囲を整理します。
元請けが果たすべき役割
- 最低限のセキュリティ基準を示す
何を守ってほしいかを明確に伝える - 契約上の取り決めをしておく
口頭ではなく、契約書に明記する - 定期的な確認の仕組みを持つ
一度伝えて終わりにしない - インシデント発生時の連絡体制を整えておく
協力会社側で問題が起きた際、速やかに情報が上がってくる仕組みを作る
元請けが直接管理する必要がない範囲
- 協力会社の社内システムそのものの設定・運用
- 協力会社の従業員個人のITリテラシー教育の詳細な実施（基準を示すことと、実際の教育を代行することは別）
「管理する」というより、「基準を示し、それが守られているかを確認する」という関わり方が、実務としては現実的です。
協力会社に求めるべき最低限のセキュリティ基準
協力会社の規模や体制はさまざまなので、過度に高い基準を求めると現場が回らなくなります。
まずは、次のような「最低限」のラインから始めることをおすすめします。
- 現場で使用する端末に、ウイルス対策ソフトを導入している
- 図面・写真データの共有方法について、一定のルールがある（私物端末での無制限な共有を避ける）
- パスワードを初期設定のまま使い回していない
- 情報漏えい・端末紛失など、問題が起きた際にすぐ元請けに報告する体制がある
いきなり高度な対策を求めるのではなく、「まずはここまで」というラインを明確にし、協力会社側が対応しやすい形で伝えることが大切です。
契約書に盛り込むべきセキュリティ条項
口頭での申し合わせだけでは、いざという時に「言った・言わない」の問題になりかねません。
委託契約・業務委託契約には、次のようなセキュリティ条項を盛り込むことをおすすめします。
- 情報管理に関する遵守事項
取り扱う情報の範囲、保管方法、共有可能な範囲の明記 - 再委託時の取り扱い
協力会社がさらに別の業者に委託する場合のルール - 報告義務
情報漏えいや端末紛失が発生した際の報告期限・報告先 - 監査・確認への協力義務
元請けが必要に応じて確認できる旨の明記 - 責任分担・損害賠償に関する定め
万が一の際の責任の所在
これらの条項は、一般的な業務委託契約のひな形には含まれていないことが多く、後から追加しようとすると、既存の取引関係の中で言い出しにくくなることもあります。
契約更新のタイミングなど、早めに見直しておくことをおすすめします。
なお、契約書の条項作成・見直しは行政書士業務にあたります。
実際の条文作成にあたっては、行政書士など専門家への相談が有効です。
業務委託契約に必要なセキュリティ条項に関する注意点は、こちらで詳しく解説しています。
業務委託契約に必要なセキュリティ条項｜見落としがちな5つのポイント
業務委託契約のセキュリティ条項が見落とされがちな理由と、必須で盛り込むべき5つの条項(安全管理措置・報告義務・再委託・監査・損害賠償)を解説。不十分な条文の改善例…
教育・監査を無理なく運用する方法
基準を決め、契約に盛り込んだとしても、それが実際に守られているかを確認する仕組みがなければ形骸化してしまいます。
ただし、大がかりな監査体制を作る必要はありません。
無理なく運用するための工夫
- 年に1回程度の簡易チェックシートでの確認
詳細な監査ではなく、○×形式のチェックリストで十分な場合も多い - 現場開所時のタイミングに合わせる
新しいチェックの機会を別途設けるのではなく、既存の現場立ち上げフローに組み込む - 教育は動画やIPA（情報処理推進機構）の公開教材を活用する
自社でゼロから教材を作らず、既存の分かりやすい教材を活用する - 「できていない会社を責める」のではなく「一緒に整える」姿勢
協力会社との関係性を損なわず、継続的な協力を得やすくする
セキュリティ管理は、一度整えて終わりではなく、現場が変わるたびに繰り返し行う継続的な取り組みです。
無理のない範囲で、着実に運用できる仕組みを作ることが、結果的に長続きします。
まとめ
協力会社のセキュリティ管理は、「すべてを元請けが管理する」ことでも「協力会社任せにする」ことでもなく、基準を示し、契約に落とし込み、無理のない範囲で確認するというバランスが重要です。
特に契約書へのセキュリティ条項の追加は、後回しにされがちですが、いざという時の責任の所在を明確にする重要な備えです。
まずは自社の委託契約書を見直すところから始めてみてはいかがでしょうか。
協力会社を含めた現場全体のセキュリティ体制構築について、無料相談を承っています。
基準づくりから契約書の見直しまで、実務に即した形でサポートします。
初回無料相談をご利用ください03-6903-0534営業時間 10:00-18:00 [ 土・日・祝日除く ]
お問い合わせはこちら
