建設業のSCS対応で固有の難所は、重層下請構造と現場ごとに変わるIT環境の2つです。現場ごとに統制を設計すると必ず破綻するため、会社として標準構成を1つ決め、現場はその範囲で運用する形にしてください。着手点は、図面・写真・見積がどこに保存され誰がアクセスできるかの棚卸しです。ここだけで対応範囲が大きく絞り込めます。
SCS評価制度の★取得について、現状アセスメントからギャップ分析、技術対策の実装、申請サポートまでをワンストップでご支援しています。
SCS評価制度 対応支援 を見る →SCS評価制度 総合ガイド建設業が対象になる理由
SCS評価制度は特定の業種を対象にした制度ではありません。発注者や元請から求められれば、業種に関係なく対応が必要になります。建設業でその可能性が高いのは、次の立場にある企業です。
- 官公庁工事を受注している。政府調達では★格付けが加点要素として扱われる方向にあります
- 重要インフラ（電力、通信、鉄道、上下水道など）に関わる工事を担っている
- 大手ゼネコンの協力会社として、継続的に受注している
建設業が狙われる理由は、扱う情報の性質にあります。施設の図面、設備の配置、警備の仕様、工程表といった情報は、その建物や施設を攻撃するための下調べに使えます。発注者が守りたいのは建設会社の情報ではなく、竣工後の施設そのものです。この視点を持つと、なぜ厳しく問われるかが理解しやすくなります。
重層下請構造での要求の伝わり方
建設業では、元請から1次、2次、3次へと請負が重なります。SCSの要求もこの構造を伝わりますが、下位に行くほど要求の意図が抜け落ち、書類の提出だけが残るという問題が起きます。
| 立場 | 求められること | 典型的な課題 |
|---|---|---|
| 元請 | 自社の対応と、下請の管理状況の説明 | 下請の実態を把握できていない |
| 1次下請 | 自社の対応と、2次以降への要求の伝達 | 受け取った書類をそのまま流すだけになる |
| 2次以降 | 自社の対応 | 専任のIT担当がおらず、何を求められているか分からない |
自社が中間にいる場合、受け取った要求をそのまま下へ流すだけでは管理したことになりません。要求の意味を理解し、下位の会社が実施できる形に噛み砕いて伝え、実施状況を確認するところまでが求められます。発注側企業のためのSCS活用ガイドは、この「求める側」の設計として参考になります。
現場のIT環境という固有の難所
オフィス環境だけなら他業種と大きく変わりませんが、建設業には工期ごとに立ち上がって消える現場のIT環境があります。
- 臨時のネットワーク：現場事務所にモバイルルーターや仮設回線を持ち込む。設定が現場任せになりやすい
- 持ち込み端末：会社支給のPCと私物のスマートフォンが混在する
- 共用アカウント：現場で1つのアカウントを複数人で使い回す
- 撤去されない機器：竣工後もクラウドの共有設定やアカウントが残る
ここで現場ごとに個別の統制を設計しようとすると必ず破綻します。現実的な解は、会社として標準の構成を1つ決め、現場はその範囲で運用することです。
| 決めること | 内容 |
|---|---|
| 標準構成 | 現場で使う回線・端末・クラウドサービスを会社として指定する |
| 例外手続き | 標準外を使う場合は申請と記録を必須にする |
| 撤収手順 | 竣工時にアカウント停止と共有解除を行う。チェックリスト化する |
とくに3番目が抜けやすい項目です。終わった現場のアクセス権が残り続けている状態は、アカウント管理の要求に直接抵触します。
図面・写真データの共有
建設業でやり取りされる情報は、量が多く、社外との共有が前提です。BIM/CIMの普及でデータの一元化が進む一方、共有の範囲が広がるほど流出時の影響も大きくなります。
- 保存先を集約する：現場ごとに保存先が分散していると、棚卸しも権限管理もできません
- 共有リンクの範囲を制御する：「リンクを知っている全員」での共有を既定にしない
- 期限を設定する：外部共有には有効期限を付け、竣工後に自動で切れるようにする
- ダウンロードを制御する：閲覧のみを許可し、端末への保存を防ぐ設定を検討する
Microsoft 365やGoogle Workspaceを使っているなら、これらは追加購入なしで設定できる範囲です。詳細はMicrosoft 365で★3に対応する設定チェックリストを参照してください。
協力会社への教育をどう設計するか
協力会社や職人への教育は、建設業のSCS対応で最も難しい部分です。所属が異なり、入れ替わりも多く、集合研修は現実的ではありません。
設計の考え方は次のとおりです。
- 範囲を絞る：全員に高度な教育を求めず、自社の情報に触れる人に限定する
- 既存の場を使う：新規入場者教育や安全朝礼に数分を組み込む。新しい場を作らない
- 内容を絞る：「写真を私物のクラウドに上げない」「不審なメールは開かず報告する」など、行動を2〜3個に限定する
- 記録を残す：新規入場者教育の記録に、セキュリティ項目の実施欄を追加する
教育の要件全般はSCS評価制度の従業員教育要件にまとめています。既存の安全教育の枠組みに乗せるのが、建設業では最も定着しやすい方法です。
対応の進め方
| 順序 | やること |
|---|---|
| 1 | 図面・写真・見積の保存先と、アクセスできる範囲を棚卸しする |
| 2 | 終了した現場のアカウント・共有設定が残っていないか確認する |
| 3 | 現場のIT標準構成と、例外申請・撤収手順を定める |
| 4 | 新規入場者教育にセキュリティ項目を組み込む |
| 5 | ★3の26要求事項に照らして残りを埋める |
1と2は棚卸しだけで済み、費用がかかりません。この2つで対応すべき範囲がかなり絞り込めます。
なお、個々の評価基準の文言はIPAが公開する★3の評価基準（81基準）に定義されています。本記事はその文言の解説ではなく、要求を満たすために実務でどう設計するかを整理したものです。申請前には必ず公開されている最新の基準を参照してください。
よくある質問
建設業もSCS評価制度の対象になりますか？
発注者や元請から求められれば対象になります。とくに官公庁工事や重要インフラに関わる工事、大手ゼネコンの協力会社として継続的に受注している企業は、調達要件としてセキュリティ水準を問われる可能性が高い立場です。
現場ごとにネットワークが異なる場合、どう管理すればよいですか？
現場ごとに個別の統制を設計すると破綻します。会社として標準の構成を1つ決め、現場はその範囲で運用する形にしてください。現場で追加の機器やサービスを使う場合は申請と記録を必須にし、竣工時に確実に撤去する手順まで含めて標準化します。
職人や協力会社の私物スマートフォンをどう扱えばよいですか？
禁止しても実態は変わりにくいため、業務データを私物端末へ保存させない設計にするほうが現実的です。写真や図面は共有ストレージ上で閲覧させ、端末へダウンロードさせない設定にします。あわせて、退場時にアクセス権を停止する手順を決めてください。
協力会社にも同じ水準を求める必要がありますか？
自社の情報や発注者の情報に触れる範囲では、実質的に同じリスクを負います。ただし小規模な協力会社に高い水準を一律で求めると受注できなくなるため、アクセスさせる情報の範囲を絞ったうえで、必要最小限の要件に限定するほうが機能します。
何から着手すればよいですか？
図面・写真・見積といった情報がどこに保存され、誰がアクセスできるかの棚卸しからです。建設業では現場ごとに保存先が分散していることが多く、この可視化だけで対応すべき範囲が大きく絞り込めます。
まとめ
建設業のSCS対応で固有なのは、重層下請構造と、工期ごとに立ち上がって消える現場のIT環境です。現場ごとに統制を設計すると破綻するため、会社として標準構成を決め、例外は申請と記録で管理し、竣工時の撤収をチェックリスト化してください。
着手点は、図面・写真・見積の保存先とアクセス範囲の棚卸し、そして終了した現場のアカウントや共有設定が残っていないかの確認です。どちらも費用がかからず、ここだけで対応範囲が大きく絞り込めます。協力会社への教育は、新規入場者教育という既存の枠組みに乗せるのが定着しやすい方法です。
自社の現在地を項目単位で確認したい場合は、SCS★3 セルフチェック（無料・登録不要） ↗で26要求事項・81評価基準への適合率を測れます。