建設業界ではランサムウェア被害が拡大し、VPN機器の脆弱性や協力会社を経由した攻撃も増えています。本記事では、建設業界のサイバーセキュリティ対策におすすめのセキュリティサービスと、最初に取り組むべき解決策、選び方のポイントを解説します。
建設業界でサイバーセキュリティ対策が急務となる背景
建設業界は、設計図や顧客情報、現場写真といった機密情報を多数の関係者と共有しながら事業を進めています。DXによる業務効率化が進む一方で、サイバー攻撃の標的になるリスクも高まっています。
ランサムウェア被害の拡大とセキュリティリスクの実態
警察庁の報告では、建設業界のランサムウェア被害企業は20社に達しました。被害額が1億円を超えるケースもあり、建設業界はサイバー攻撃のターゲットになりやすい業種といえます。2024年9月の報告では、中小企業の被害件数も倍増しています。
VPN機器の脆弱性管理と建設現場における情報セキュリティの課題
ランサムウェアの感染経路では、VPN機器からの感染が半数近くを占めます。攻撃者は未修正の脆弱性を狙うため、機器の管理が欠かせません。また、建設現場は事務所と環境が異なり、USBメモリやパソコンの紛失による情報漏えいにも注意が必要です。
協力会社を含むサプライチェーンセキュリティと機密情報の保護
近年は取引先や下請企業を経由するサプライチェーン攻撃が増えており、協力会社を含めた全体でセキュリティレベルを高めることが求められています。日本建設業連合会の情報セキュリティガイドラインでも、協力会社への基準適用が示されています。
建設業界のサイバーセキュリティ対策におすすめのセキュリティサービス
建設業界のサイバーセキュリティ対策では、ランサムウェアやVPN機器の脆弱性、協力会社を含むサプライチェーンまで見据えたセキュリティサービスの選定が欠かせません。ここでは、建設業界への導入を検討しやすい代表的なセキュリティサービスを紹介します。
サービス選びでは、エンドポイント対策、メール対策、脆弱性診断、ID管理といった領域ごとの強みを把握し、自社の情報資産や現場の運用に合うものを選ぶことが重要です。
ソフォス株式会社
英国発のセキュリティベンダーで、EDRとXDRを中心に端末からネットワークまで統合的に守る製品群を提供しています。建設業界向けにも実績があり、日建連のガイドラインで紹介される「サイバーセキュリティお助け隊」認定サービスも展開しています。
株式会社ラック
国内最大級のセキュリティ専門企業で、24時間365日の監視サービス「JSOC」を運営しています。ランサムウェア対策や脆弱性診断、インシデント対応まで一貫して支援でき、建設会社の情報資産を守る体制づくりを後押しします。
トレンドマイクロ株式会社
「Trend Vision One」により、エンドポイント、メール、クラウド、ネットワークを横断して脅威を可視化できます。フィッシングメールや不正アクセス対策に強く、本社と建設現場が混在する環境でも一元的に管理しやすい点が特長です。
HENNGE株式会社
クラウド型のID管理・アクセス制御サービス「HENNGE One」を提供しています。多要素認証やシングルサインオンにより不正ログインを防ぎ、メール誤送信対策も可能です。従業員や協力会社への展開がしやすいサービスです。
株式会社サイバートラスト
電子証明書による認証基盤を強みとし、「サイバートラスト デバイスID」でVPN機器や現場端末へのアクセス制御を強化できます。日建連のガイドラインに沿った不正アクセス対策に取り組む建設会社にも適した選択肢です。
建設業界のサイバーセキュリティ対策で最初に取り組むべき解決策
日建連の建設現場における情報セキュリティガイドラインの要点
日本建設業連合会（日建連）は、建設現場に特有のリスクを踏まえた情報セキュリティガイドラインを公開しています。協力会社へのセキュリティ基準の適用や、社内ネットワークと現場ネットワークの分離が柱です。まずはガイドラインを基準に自社の対策状況を点検し、不足部分を洗い出すことが出発点です。下請企業を含め、サプライチェーン全体で水準をそろえましょう。
現場写真・設計図・顧客情報を守るためのEDRとゼロトラストの考え方
現場写真や設計図、顧客情報は建設会社の重要な情報資産です。ウイルス対策ソフトだけでは防げない攻撃に備え、端末の不審な挙動を検知して対処するEDRの導入が有効です。さらに、社内外を問わず通信を常に検証するゼロトラストの考え方で、多要素認証とアクセス管理を組み合わせて守りましょう。
ランサムウェア対策とバックアップ体制の整備
ランサムウェアは、データを暗号化して金銭を要求する脅迫型の攻撃で、被害額が1億円を超える例もあります。被害を最小限に抑えるには、バックアップを複数世代で取得し、社内サーバーとは別の場所に保管することが重要です。あわせてVPN機器の脆弱性を定期的に確認し、最新の状態に保ちましょう。
フィッシングメール対策とセキュリティ教育による人的ミスの防止
フィッシングメールによるウイルス感染や、USBメモリの紛失による情報漏えいなど、人的ミスは建設業で大きなリスクです。不審なメールの見分け方や機器の管理ルールを、定期的な研修で従業員に周知しましょう。教育用動画を使えば費用を抑えられますが、意識の浸透には時間がかかる点に留意が必要です。
建設業界におけるセキュリティサービスの選び方
中小企業でも導入しやすいサイバーセキュリティ対策サービスの見極め方
中小企業では専任のセキュリティ担当者を置けないことが多く、運用負荷の低さが重要です。端末の監視から対応までを任せられるEDR運用サービスや、サイバーセキュリティお助け隊に認定されたサービスが候補になります。導入費用だけでなく、月額の運用コストと自社の体制で無理なく続けられるかを見極めましょう。
グループ会社や協力会社へ展開しやすいセキュリティサービスの条件
グループ会社や協力会社の対策が弱いと、そこを足がかりに攻撃を受けるおそれがあります。複数拠点の端末を一元管理でき、ライセンスを柔軟に追加できるサービスが望ましいです。取引先ごとにセキュリティ水準が異なる点を踏まえ、協力会社でも使いやすい操作性やサポート体制かを確認しましょう。
Webサイトからメール・VPNまで網羅できる対応範囲とサポート体制
攻撃の入口は、Webサイト、メール、VPN機器など多岐にわたります。対応範囲が限定的だと、対策の抜けが生じかねません。エンドポイント、メール、ネットワーク、バックアップまでどこまで対応できるかを比較し、インシデント発生時の相談窓口や対応時間も確認しておくことが大切です。
よくある質問（FAQ）
建設業界で多いサイバー攻撃の被害事例について教えてください
建設業界では、ランサムウェア被害企業が20社に達しています。被害額が1億円を超えるケースもあり、事業への影響は小さくありません。また、2024年9月の報告で中小企業の被害件数が倍増し、中小企業のランサムウェア被害件数は140件に増加しました。感染経路としては、VPN機器からの感染がランサムウェアの半数近くを占めており、VPN機器の脆弱性が情報漏えいの原因となります。このほか、フィッシングメールでのウイルス感染がセキュリティリスクの一つとなっており、フィッシングメールによるウイルス感染が増加しています。フィッシングメールで取引先情報が流出した事例も報告されています。さらに、USBメモリの紛失で情報漏えいの危険があった事例もあります。情報機器の紛失は建設業での情報漏えいのリスク要因であり、人的ミスによる情報漏えいが建設業で懸念されています。個人情報や技術情報が外部に流出すると、利用者や取引先への迷惑にもつながるため、こうしたセキュリティ事故やセキュリティインシデントの傾向を把握しておくことが重要です。
建設業界がサイバー攻撃のターゲットになりやすい理由とは何ですか？
建設業界はサイバー攻撃のターゲットになりやすい業界です。建設業界はBIM/CADデータを扱うため特有のリスクがあり、建築に関わる設計情報などの技術情報が攻撃者にとって価値を持つ点が背景にあります。また、建設業界では特有のセキュリティリスクが存在し、建設業界は特有の課題を抱えています。さらに、建設業界ではサプライチェーン攻撃が増加しており、協力会社を含む取引関係を経由して侵入される危険があります。建設現場のセキュリティは特別な考慮が必要であり、社内ネットワークと現場ネットワークの分離が推奨されています。インフラに関わる案件を扱う企業も多く、サイバーリスクが事業全体に及ぶ可能性があるため、情報セキュリティ対策の優先度は高いといえます。
建設業界のサイバーセキュリティ対策で最初に取り組むべきことは何ですか？
最初に取り組むべきことは、守るべき情報資産と現状のリスクを把握し、基本的な対策を整えることです。多要素認証はサイバー攻撃を防ぐために重要であり、ID管理とあわせて導入を検討する必要があります。また、建設業界ではフィッシングメール対策が推奨されています。ランサムウェア対策のためのバックアップが重要であり、被害を受けた場合でも事業を継続できる体制を整えておくことが求められます。現場のセキュリティ対策にはEDRとMFAの導入が推奨されます。加えて、社内ネットワークと現場ネットワークの分離が推奨されているため、ネットワーク構成の見直しも有効です。これらを段階的に進めることで、個人情報や技術情報の保護につながり、情報セキュリティ対策の向上が期待できます。
建設現場における情報セキュリティガイドラインとは何ですか？
建設業界では情報セキュリティガイドラインが存在します。日本建設業連合会（日建連）などが公開しており、建設現場のセキュリティは特別な考慮が必要であるという前提のもとで、対策の考え方や基準が整理されています。協力会社へのセキュリティ基準の適用が求められているため、元請企業だけでなく、下請企業や協力会社も内容を把握しておく必要があります。また、サプライチェーン全体のセキュリティレベルを高めることが求められています。ガイドラインの目的は、セキュリティ事故を未然に防ぎ、情報セキュリティ事故が発生した際の被害を最小限に抑えることにあります。自社の情報セキュリティ対策を見直す際の指針として活用できます。
建設業界におすすめのセキュリティサービスの種類について教えてください
建設業界で検討される主なセキュリティサービスには、端末の不審な挙動を検知するEDR（Endpoint Detection and Response）、ログイン時の本人確認を強化するMFA（Multi-Factor Authentication）、バックアップサービス、メールのフィッシング対策、VPN機器を含むネットワーク監視、脆弱性診断、セキュリティ教育サービスなどがあります。現場のセキュリティ対策にはEDRとMFAの導入が推奨されています。ランサムウェア対策のためのバックアップが重要であり、建設業界ではフィッシングメール対策が推奨されています。複数のサービスを組み合わせることで、個人情報や技術情報を外部への流出から守り、セキュリティインシデントの発生リスクを抑えることができます。
建設会社がセキュリティサービスを選ぶ際のポイントは何ですか？
選定の際は、まず自社の課題との適合性を確認する必要があります。建設業界はBIM/CADデータを扱うため特有のリスクがあり、建設現場のセキュリティは特別な考慮が必要です。そのため、現場環境や設計データの取り扱いに対応できるかが重要な判断軸になります。また、協力会社へのセキュリティ基準の適用が求められているため、協力会社も含めて運用できるかを確認することが欠かせません。サプライチェーン全体のセキュリティレベルを高めることが求められている点も考慮し、運用負荷、導入後のサポート体制、費用対効果を総合的に比較することが大切です。情報セキュリティ対策の目的を明確にしたうえで、必要な機能を絞り込むと、過剰な投資を避けやすくなります。
中小の建設会社でも導入しやすいセキュリティサービスとは何ですか？
中小の建設会社では、専任の担当者を置きにくいことから、運用負荷が小さく、月額で利用できるサービスが導入しやすい傾向があります。2024年9月の報告で中小企業の被害件数が倍増しており、中小企業のランサムウェア被害件数は140件に増加したため、規模にかかわらず対策が必要です。現場のセキュリティ対策にはEDRとMFAの導入が推奨されており、ランサムウェア対策のためのバックアップも重要です。また、教育用動画を利用して費用を抑えられるため、従業員教育についても負担を抑えながら進められます。費用相場については、コンサルティング会社に依頼する場合は月額200万円から700万円が目安で、事業戦略や業界商習慣に合わせた施策設計から実務まで一気通貫で支援を受けられます。一方、システム会社やセキュリティサービス提供会社の場合は、サービス単位で月額数万円から数十万円程度が一般的で、支援内容は製品導入や設定、監視などのテクニカルな実務作業に限定されます。自社の規模と課題に応じて選択することが重要です。
ランサムウェアやVPN機器の脆弱性を狙う攻撃への対策方法は何ですか？
ランサムウェア対策のためのバックアップが重要であり、被害を受けた場合でもデータを復旧できる体制を整えておく必要があります。建設業界のランサムウェア被害企業は20社に達しており、建設業界の被害企業は令和5年から20社に増加しました。ランサムウェア被害額は1億円を超えるケースもあり、サイバー攻撃による被害額は1億円を超えることがあります。感染経路としては、VPN機器からの感染がランサムウェアの半数近くを占めるため、VPN機器の脆弱性が情報漏えいの原因となる点に注意が必要です。具体的には、VPN機器の更新を速やかに行い、多要素認証はサイバー攻撃を防ぐために重要であるため、MFAを導入することが有効です。あわせて、現場のセキュリティ対策にはEDRとMFAの導入が推奨されています。
協力会社を含めたサプライチェーン全体のセキュリティ対策の進め方について教えてください
建設業界ではサプライチェーン攻撃が増加しており、サプライチェーン全体のセキュリティレベルを高めることが求められています。協力会社へのセキュリティ基準の適用が求められているため、元請企業が基準を示し、協力会社も同じ水準で対策を実施できる体制を整える必要があります。進め方としては、まず情報セキュリティガイドラインを参考に基準を定め、協力会社に共有します。そのうえで、定期的なセキュリティ教育を行い、セキュリティ事故が発生した際の連絡体制も明確にしておきます。取引先を含めた対策を継続することで、情報セキュリティ事故の発生リスクを抑え、個人情報や技術情報の外部への流出防止につながります。
建設業の従業員に対するセキュリティ教育はどう行うべきですか？
従業員教育は人的ミスを防ぐために重要です。定期的なセキュリティ教育が建設業界では重要視されており、定期的な研修でセキュリティ意識を高める必要があります。教育を通じてセキュリティ文化を醸成することが重要です。また、建設業界では教育が浸透するまで時間がかかるため、継続的に取り組むことが前提となります。教育用動画を利用して費用を抑えられるため、現場の社員が時間を見つけて受講しやすい形式を選ぶと負担を軽減できます。フィッシングメールによるウイルス感染や情報機器の紛失など、現場で起こりやすい事例を教材に取り入れると、社員の理解が深まり、情報セキュリティ対策の向上につながります。