設計事務所 業務改善Navi
図面・資料管理

情報漏洩の原因と対策は？設計事務所の図面と個人情報の守り方

· 編集：KMC株式会社

情報漏洩の主な原因を個人情報保護委員会の年次報告から確認し、設計事務所の図面・施主情報に当てはめた対策を解説します。漏えい時の初動、個人情報保護委員会への報告と本人通知の判断も整理します。

情報漏洩の原因は「誤って渡す」と「盗まれる」に大きく分かれる

情報漏洩の対策は、原因ごとに分けて考えると具体的になります。個人情報保護委員会の「令和7年度年次報告」によると、民間事業者の個人データの漏えい等について、個人情報保護法第26条第1項に基づく報告の処理は17,139件でした。発生原因としては、書類等の誤交付、誤送付のほか、不正アクセス等によるものが多かったとされています。漏えい等した情報の形態は「紙媒体のみ」が最も多く76.9％でした。

つまり、サイバー攻撃だけでなく、渡す相手や渡す物を間違える事故が大きな割合を占めます。設計事務所では、施主の氏名・住所と住宅の間取り図、発注者の未公開計画、見積や契約の情報が漏えいの対象になります。本記事は、原因別の対策と、漏えいが起きたときに報告と本人への通知をどう判断するかをまとめます。

年次報告から分かること

項目令和7年度年次報告の内容（民間事業者等）
報告の処理件数17,139件（前年度19,056件）
報告義務の類型で多いもの要配慮個人情報を含むもの61.9％、不正の目的をもって行われたおそれのあるもの22.3％
1件あたりの人数1,000人以下が93.6％
情報の種類顧客情報が83.9％
情報の形態紙媒体のみが76.9％
主な発生原因書類等の誤交付、誤送付、不正アクセス等

1件あたりの人数は1,000人以下が大半です。大規模な事件だけが報告の対象ではないことが読み取れます。小さな事務所の一件の誤送付でも、内容によっては報告が必要になります。

設計事務所で漏れやすい情報と経路

情報漏れやすい経路の例
施主の氏名・住所・連絡先別の施主宛てのメールに添付、封筒の入れ違い、顧客台帳の共有範囲が広すぎる
住宅の間取り図・現場写真SNSや作品紹介への掲載時に場所が特定できる情報が残る、タブレットの紛失
発注者の未公開計画共有リンクが「リンクを知っている全員」になっている、退職者のアカウントが残っている
見積・契約・請求宛先の自動補完の誤り、取引先を装うメールへの返信
申請図書・構造計算書外注先との共有フォルダの権限が終了後も残る

施主の氏名や住所と一緒に管理されている図面や写真は、個人データとして扱うかどうかの確認が必要になる場合があります。また、住宅の間取りや防犯設備の配置は、個人情報に当たるかどうかに関わらず、外へ出ると施主の暮らしの安全に関わる情報です。

原因別の対策表

原因設計事務所での対策詳しい記事
誤送付・誤交付（メール）宛先の確認者を分ける、案件番号から始まる件名、添付の表題欄を開いて確認メール整理の記事
誤送付・誤交付（紙・郵送）封入時に宛名と中身の施主名を照合する、図面の表題欄に別案件の名前がないか確認本記事のチェック表
共有設定の誤り案件ごとに権限を付け、公開リンクを通常手段にしない共有権限の記事
紛失・盗難端末の遠隔ロック、持ち出し記録、現場写真を端末に貯めないMDMの記事
不正アクセス多要素認証、機器の更新、退職者アカウントの停止多要素認証の記事
なりすましメール送金・送付先変更の依頼は別経路で確認メール事故対策の記事
内部の持ち出し権限を必要な人に絞る、退職時の権限停止と返却の確認共有権限の記事

紙の比率が高いことは、設計事務所にも当てはまります。打合せ用に印刷した図面一式、郵送する契約書類、現場に持ち出す既存図などは、電子データと同じように宛先と中身の照合を習慣にします。

送る前・渡す前のチェック表

確認項目見るところ
宛先と施主名宛名、メールのTo・CC、封筒の宛名と、図面の表題欄の施主名が一致しているか
版と範囲渡すべき版か、別案件の図面や社内コメントが混ざっていないか
ファイルの中身PDFのしおり、レイヤー、ファイルのプロパティに別案件の情報が残っていないか
共有リンク相手を指定しているか、期限を付けたか
送る人と確認する人重要な送付で作成者と確認者を分けたか

漏えいに気づいたときの初動

  1. 被害の拡大を止める：共有リンクを止める、誤送信先へ削除を依頼する、乗っ取られたアカウントのパスワードを変える。
  2. 記録する：いつ、誰が、何を、どこへ、どの経路で、何人分か。分からない項目は「不明」と書く。
  3. 管理者と代表に報告する：自分だけで処理を終わらせない。
  4. 報告と通知の要否を判断する：次の節の基準で確認する。
  5. 原因を特定し、再発防止策を決める：担当者の注意だけで終わらせず、仕組みで防げなかったかを見直す。

IPAの「中小企業の情報セキュリティ対策ガイドライン」には、付録として「中小企業のためのセキュリティインシデント対応の手引き」があり、検知・初動対応、報告・公表、復旧・再発防止の流れと相談先がまとめられています。

個人情報保護委員会への報告と本人への通知

個人情報保護委員会は、次のいずれかに当たる個人データの漏えい等（またはそのおそれ）が起きた場合、報告が義務になると案内しています。

類型内容設計事務所での例
1要配慮個人情報を含むものバリアフリー改修のために預かった家族の病歴や障害の情報
2不正に利用されることで財産的被害が生じるおそれがあるものクレジットカード番号、ネットバンキングのログイン情報など
3不正の目的をもって行われたおそれがある行為によるもの不正アクセスやランサムウェアによる施主情報の流出のおそれ
4本人の数が1,000人を超えるもの顧客台帳全体の流出

報告の期限は、速報が発覚日から3〜5日以内、確報が発覚日から30日以内（不正の目的によるおそれがある場合は60日以内）とされています。類型3は人数の条件がないため、不正アクセスによる漏えいのおそれは、少人数でも報告の対象になり得ます。

また、個人情報保護法第26条第2項は、報告が必要な事態が生じたときに本人へ通知することを求めています。本人への通知が困難な場合は、本人の権利利益を保護するために必要な代わりの措置をとることになります。施主への連絡は、事実が分かった範囲で、何が起き、何をしているかを正確に伝えます。

ここでの例は判断の目安です。実際に該当するかどうかは、個人情報保護委員会の案内やガイドラインを確認し、必要に応じて専門家に相談してください。

よくある質問

誤送信先が「削除した」と言っています。報告は不要ですか

削除の確認は被害拡大の防止として大切ですが、それだけで報告の要否は決まりません。漏えいした情報の内容と、上の四類型に当たるかで判断します。

公表されている情報漏洩の事例から学ぶには

警察庁の資料や各社の公式発表では、侵入の経路や影響が説明されていることがあります。原因と再発防止策の部分を読み、自社の仕組みに同じ穴がないかを確かめる材料にします。

顧客台帳はどこまで持つべきですか

必要な項目に絞るほど、漏えい時の影響が小さくなります。台帳の項目と利用目的の整理は顧客管理の記事を参照してください。

出典・参考

経路の表、対策表、チェック表、類型ごとの例は、上記の資料をもとに設計事務所向けに整理したものです。報告の要否の最終判断は、個人情報保護委員会の最新の案内に従ってください。

関連記事

この業務でAIを試すには

業務の条件と確認方法を整えたら、関連するAI活用の手順を確認できます。

設計事務所でAIに図面や顧客資料を渡す前に確認すること →

あわせて読みたいガイド