建設会社のサイバー事故で生じる損害を、元請・発注者・協力会社への賠償、自社の調査・対応費用、工期遅延による自社の逸失利益の3つに分け、サイバー保険で対象になりやすいものと対象外になりやすいものを整理した図

2026年10月7日、戸田建設株式会社は、取引先への支払いを管理するシステム等が外部から不正アクセスを受け、取引先担当者のメールアドレス最大7,200件、取引データ最大6,000件、従業員4,778名分の個人情報が漏えいしたと公表しました。

2025年には設備工事会社の基幹システムが外部クラウド上で暗号化され、取引先の振込先口座や工事名称・請負金額を含む契約情報が流出した恐れがあると公表された事故も起きています。建設・設備工事会社が持つ情報の中心は、施主の個人情報よりも、協力会社の口座と請求のデータ、図面と工程、元請や発注者との契約の中身です。

これが漏れたとき、あるいは暗号化されて現場が止まったとき、誰にどんな責任が生じ、どこまでが保険の話なのか。この記事では、公表された事故を手がかりに建設・設備工事会社に固有の6つのサイバーリスクを整理し、サイバー保険で対象になりやすい損害と対象外になりやすい損害を一般論として解説します。

結論を先に言うと、保険が見るのは「預かった他人の情報の漏えいに伴う賠償」と「自社の調査・通知・復旧の費用」で、商品によっては「システム停止で失った自社の利益」も任意の追加で対象にできます。一方、工期遅延の違約金と、建築士の設計行為に起因する賠償は、サイバー保険では対象外になりやすい領域です。

なお、本記事は特定の保険会社、保険商品、保険契約や特約の内容を説明するものではなく、一般的な考え方の整理です。個別の保険金請求の可否は、ご契約の約款と事実関係に基づいて保険会社が判断します。

Summaryこの記事のポイント

  • 公表された事故の起点は、支払い管理システムや外部クラウド上の基幹システムといった事務所側のシステムで、漏れたのは協力会社の口座情報と契約情報だった。
  • 損害は、元請・発注者・協力会社・従業員への賠償、自社の調査・通知・復旧の費用、工程が止まったことによる自社の逸失利益の3つに分かれる。基本の補償が見るのは前の2つ。
  • 工期遅延の違約金と、建築士の設計行為に起因する賠償は、サイバー保険では対象外になりやすい。設計の責任は専門職業賠償の領域で、別の保険で考える。
  • 協力会社になりすました振込先の変更依頼は、情報漏えいとは別の「資金の損害」で、基本の補償には含まれないことが多い。振込先変更は電話で折り返す実務が先に効く。

サイバーセキュリティ保険の専用ページで資料請求・お見積もりを受け付けています

資料請求・お見積もりは無料、入力は約1分です

専用ページで資料請求・お見積もり

建設・設備工事会社で実際に起きた事故

建設業のサイバー事故は、協力会社に個別に連絡して終わる会社が大半で、公表に至るものが多くありません。会社自身または発注者の自治体が公表した3件を、公表文の範囲で整理します。原因の巧拙や会社の対応への評価は行いません。

表1：建設・設備工事会社のサイバー事故の公表事例（公表文ベース、2026年10月28日時点）
項目総合建設会社の事例（2026年10月）設備工事会社の事例（2025年7月）地場建設会社の事例（2025年4月）
公表した主体戸田建設株式会社（自社サイト）川崎設備工業株式会社（自社サイト）埼玉県県土整備部建設管理課（発注者として報道発表）。事業者は株式会社松永建設
起点と手口取引先への支払いを管理するシステム等への外部からの不正アクセス。10月5日に検知。10月1日から5日にかけて漏えいの形跡外部クラウド上に設置していた基幹システムを含む社内業務サーバのデータがランサムウェアで暗号化。6月30日に確認自社サーバーや内部ファイルが暗号化されるランサムウェア被害。4月10日に確認
影響を受けた情報取引先担当者のメールアドレス（最大7,200件）、取引データ（最大6,000件）、従業員の氏名、住所、電話番号、メールアドレス、所属部署（4,778名分）流出の恐れがある情報として、取引先情報（取引先名、住所、電話番号、振込先口座情報、送付先メールアドレス等）、社員情報（氏名、所属、会社メールアドレス、振込先口座情報等）、契約情報（取引先名、工事名称、請負金額、工事期間等）。預かっている図面等は含まれないと明記公表時点で情報の漏えいは確認されていないが、サーバー内の業務関連データが外部に流出した可能性がある。県は契約中の工事・業務7件（契約手続中1件を含む）を列挙
業務への影響公表文に記載なし感染が疑われるサーバ群を遮断し、対外的な電子取引を制限。その間の取引は紙媒体を含む物理的な手段で継続。一次調査で被害範囲が外部クラウドに絞られた後、制限を解除自社サーバーにアクセスできない状況（4月22日の県への報告時点）
対応と報告直ちに通信を遮断しネットワークから隔離。公表日に個人情報保護委員会へ報告。外部の専門機関を交えて解析緊急対策本部を設置し、外部のセキュリティ専門業者の支援を受けて調査・復旧。警察および個人情報保護委員会へ報告外部専門家、警察等の協力を得て調査と対応。県は情報流出の有無の確認と原因究明、対応策の検討を事業者に求めている

3件に共通する点が3つあります。1つ目は、起点が現場ではなく事務所側の業務システムだったことです。狙われたのは、協力会社への支払いと契約の情報が集まる場所でした。2つ目は、漏れた情報の中心が協力会社の情報だったことです。

取引先名、担当者のメールアドレス、振込先口座、工事名称と請負金額は、協力会社になりすました請求書や振込先変更の依頼を作る材料になります。戸田建設が取引先に「関係者を騙る不審なメールやSMS」への注意を呼びかけているのは、このためです。3つ目は、公表の主体が会社だけではないことです。公共工事の受注者で事故が起きると、発注者である自治体が工事名を挙げて報道発表する場合があります。

建設会社を含む企業グループの事例にも触れておきます。マンション管理や建設工事を営むあなぶきハウジンググループは、2026年2月3日にランサムウェア被害を確認し、同年5月22日の第6報で、漏えいした可能性のある個人情報が207,773件と確定したと公表しました。

原因は「グループ会社におけるネットワーク機器の脆弱性を突かれてランサムウェアの侵入を許し、またその後の横展開を抑止できなかったこと」と説明されています。協力会社とネットワークがつながっている建設会社にとって、侵入口が自社の外にあるという事実は、そのまま自社の話です。

建設・設備工事会社に固有の6つのサイバーリスク

多数の協力会社と金銭と図面をやり取りし、工程に縛られて仕事をする業態ならではの損害があります。相談で挙がることが多い6つを整理します。

協力会社や元請になりすました請求書と振込先の変更依頼

建設業の経理は、毎月、数十から数百の協力会社への出来高払いを処理します。「振込先を変更した」というメールを、工事台帳と突き合わせる前に処理してしまう余地が、他の業種より大きい業態です。

設備工事会社の事例で流出の恐れがあるとされた取引先名、振込先口座、送付先メールアドレス、工事名称、請負金額が揃えば、実在する工事の実在する請負金額で、実在する担当者名義の請求書を作れます。逆に、自社の名前で協力会社や施主に偽の請求書が届く形もあります。この損害は情報漏えいではなく資金の損害で、基本の補償とは別の扱いになるのが一般的です。

施工管理クラウドの共有アカウント

施工管理アプリや図面共有サービスは、現場ごとに協力会社の職長や担当者を招待して使います。竣工後も招待を削除していない、現場事務所のタブレットに共通IDでログインしたまま、協力会社側で一つのIDを複数人で使っている。こうした状態は、どの建設会社にもあります。

協力会社のアカウントが乗っ取られれば、そこから閲覧できる図面、工程表、出来高、他の協力会社の連絡先に攻撃者が触れます。協力会社のアカウントを通じて自社が管理する情報に到達された場合の保険上の整理は、商品や契約条件によって扱いが分かれるため、契約時に保険会社へ確認する点です。

図面・BIM・CADデータと工程データの暗号化

暗号化されて困るのは会計データだけではありません。施工図、BIMモデル、CADデータ、工程表、出来高の管理表、安全書類が暗号化されると、翌日の施工図が出せず、出来高の査定ができず、協力会社への支払いが遅れます。

警察庁の統計では、2026年上半期にランサムウェア被害を報告した企業・団体のうち、復旧期間の有効回答48件中25件が「1か月以上」または「復旧中」で、調査・復旧費用の有効回答35件中21件が総額1,000万円以上でした（出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」2026年9月）。工程に余裕のない現場では、1か月の復旧期間は工期延長の問題に直結します。

基幹システムの停止と協力会社への支払い遅れ

設備工事会社の事例では、電子取引を制限した期間、取引は紙媒体を含む物理的な手段で継続したと公表されています。支払いが遅れれば協力会社の資金繰りに影響し、次の現場への協力にも響きます。この損害は自社の逸失利益と協力会社の損害の両方の性質を持ち、保険の上でも分けて考えます。

現場端末と現場ネットワーク

現場事務所のモバイルルーター、職長のスマートフォンの施工管理アプリ、ドローンや360度カメラの撮影データを保存する端末。本社の管理が届きにくい端末が現場には多数あります。紛失や盗難による情報漏えいは、不正アクセスがなくても「他人の情報の漏えいまたはそのおそれ」として扱われるのが一般的で、サイバー保険が想定する典型的な事故の一つです。現場端末に入っている施主の情報や協力会社の作業員名簿は、預かった他人の情報です。

発注者・元請への連鎖と取引継続の審査

1件の事故が自社で完結しないのが建設業の特徴です。地場建設会社の事例では、発注者である埼玉県が契約中の工事7件の名称を挙げて報道発表しました。元請の立場なら、協力会社の事故で自社の工事情報が流出し、施主への説明が要ります。協力会社の立場なら、元請から事故報告と再発防止策を求められ、取引継続審査で対策状況を問われます。

IPA（情報処理推進機構）が2026年4月に公開した「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」は、委託元が契約で委託先に求める対策の段階（★3・★4）を示す制度です。

委託元が実施状況を確認することを想定しており、2027年3月の受付開始に向けて準備が進んでいます（出典：IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」2026年4月公開、2026年10月更新）。

損害は3つに分かれる

現場では「被害額」と一括りに語られますが、賠償・費用・逸失利益の3つに切り分けないと、保険の話も元請との契約の話も前に進みません。

相手に生じた損害への賠償

協力会社の口座情報が漏れ、協力会社がなりすまし請求の被害を受けた。施主の個人情報が漏れた。元請から預かった図面が流出し、元請が施主に責任を問われた。相手が被った損害について自社が法律上の賠償責任を負う場合、その賠償金と争訟費用はサイバー保険の賠償責任の補償で対象になり得ます。預かった他人の情報の漏えいまたはそのおそれ、という整理です。

原因は不正アクセスに限らず、メールの誤送信、宛名違いの郵送、USBメモリの紛失、現場端末の盗難、従業員の持ち出しなど、原因を問わず対象事由になるのが一般的です。対象になるのは法律上の損害賠償責任に基づく金額だけで、契約で上乗せした責任、違約金、遅延損害金のように契約で定めた金銭は対象外になりやすい領域です。

自社の調査・通知・復旧の費用

侵入経路と影響範囲の調査、協力会社と施主への通知、問い合わせ窓口、弁護士への相談、見舞金や見舞品、再発防止のためのシステム対応。これらは事故が起きた会社自身の費用で、サイバー保険の費用補償の典型的な対象です。漏えいが確認できなくても、調査費用は対象になり得ます。

建設会社の場合、通知先が施主よりも協力会社と元請になる点が他業種と違い、協力会社が数百社あれば通知と窓口対応はそれだけの規模になります。費目によっては保険会社の事前承認が要るため、支出の前に連絡します。

工程が止まったことによる自社の逸失利益

基幹システムや施工管理クラウドが止まり、出来高の査定と請求が遅れ、工期が延びた。この間に失った利益と、紙での運用や代替システムにかかった営業継続費用は、自社の利益損害です。基本の補償には含まれず、任意で追加する補償で、自社が所有・使用・管理するシステムやクラウドサービスの停止による喪失利益と営業継続費用を対象にする商品があります。

一定時間以上の停止が条件になり、補償の期間にも上限があるのが一般的で、国内の営業が対象です。建設業はこの追加補償を付けられる業種に含まれるのが一般的ですが、停止の起点がどこか（自社のサーバーか、協力会社の端末か、クラウドの事業者側か）で結論が変わるため、契約時の確認事項です。

サイバー保険で対象になりやすいもの、なりにくいもの

6つのリスクについて、一般的なサイバー保険での扱いを整理します。商品によって条件が異なるため、個別の契約では約款の確認が必要です。

表2：建設・設備工事会社の6つのリスクとサイバー保険の対応（一般論）
リスク対象になり得るもの対象外になりやすいもの
なりすまし請求・振込先変更による誤送金任意で追加する補償で、取引先や自社役職員になりすましたメールで錯誤させられた送金や、ネットバンキングへの不正アクセスによる不正送金を対象にする商品がある。警察と金融機関の両方への届出が条件基本の補償だけの契約。回収・補てんされた分。社内の送金規程に著しく違反した場合。売掛金の回収不能。自社になりすまされて協力会社や施主が誤送金した場合の相手の損害
施工管理クラウドの共有アカウント経由の侵害自社が管理する情報が漏えいした場合の、元請・施主・協力会社への賠償と自社の対応費用。預かった情報を委託先に渡し、委託先側で漏えいした場合の、顧客から自社への賠償請求協力会社自身の損害と対応費用（協力会社は被保険者ではない）。協力会社のアカウント経由の侵害の扱いは商品や契約条件によって分かれるため契約時に確認
図面・BIM・工程データの暗号化原因・範囲の調査、データ復旧、通知、法律相談の費用。元請から預かった図面が流出した場合の元請への賠償。任意で追加する補償で、システム停止による自社の喪失利益と営業継続費用データを作り直す業務のやり直しの費用。工期遅延の違約金・遅延損害金。身代金
基幹システム停止と協力会社への支払い遅れ任意で追加する補償で、自社が使用・管理するシステムの停止による喪失利益と営業継続費用協力会社に生じた資金繰りの損害そのもの。回線や電力など自社の管理下にないインフラの障害。クラウド事業者側の障害の扱いは商品により分かれる
現場端末の紛失・盗難・誤送信不正アクセスを伴わなくても、他人の情報の漏えいまたはそのおそれとして、賠償と対応費用が対象になり得る端末そのものの損害（物の損害は別の保険）。契約で上乗せした責任、罰金・課徴金
工期遅延と発注者・元請への責任工期遅延により施主や元請に生じた損害を自社が法律上の賠償責任として負担する場合の扱いは、契約で定めた違約金との切り分けを含めて商品や契約条件により分かれるため、契約時に保険会社へ確認する点契約で定めた違約金・遅延損害金・ペナルティ。契約の再履行や追完の費用。報酬の返還・値引き

表に入れていない論点が1つあります。建築士の設計行為に起因する賠償です。設計図書の誤りで建物に不具合が生じた場合の責任は、資格に基づく行為に起因するもので、サイバー保険では対象外とされるのが一般的です。税理士や医師の資格行為と同じく専門職業賠償の領域で、建築士事務所向けの賠償責任保険で考える問題です。

一方、設計データが不正アクセスで流出し施主の情報が漏れた事故は、設計行為の誤りではなく情報の漏えいですから、サイバー保険の対象になり得ます。では、設計業務の過程で起きた操作ミスで施主の情報が漏れた場合はどちらか。この境界は商品や契約条件によって扱いが分かれるため、設計業務を行う会社は契約時に保険会社へ確認する点です。

もう1つは現場の物的損害です。施工済みの部分のやり直し、建設機械の誤作動による資材の破損、作業員のけが。こうした物の損害や身体の障害は多くのサイバー保険では対象外で、請負業者賠償責任保険や建設工事保険など、建設業が従来から手当てしている保険の領域です。

保険より先に効く実務対策

公表された事故の再発防止策と、警察庁がまとめた侵入経路の統計は、同じ方向を向いています。2026年上半期にランサムウェア被害を報告し、感染経路について有効回答のあった36件のうち、VPN機器が18件、リモートデスクトップが9件でした（出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」2026年9月）。

いずれも現場から本社のシステムに入るために使う経路です。費用のかからない順に4つ挙げます。保険の引受時に申告する体制の内容にもなります。

  • 振込先の変更は、登録済みの電話番号へ折り返して確認する。メールやFAXで届いた口座変更の依頼には返信せず、工事台帳や過去の注文書に記載された番号へ電話します。経理担当者が一人で判断しない二重承認の手順を、金額にかかわらず決めておきます。協力会社と施主に「振込先の変更は書面と電話の両方で連絡する」と事前に伝えておけば、自社になりすまされたときの相手の被害も防げます。
  • 施工管理クラウドのアカウントを個人単位にし、竣工時に棚卸しする。現場ごとに招待した協力会社の担当者を、竣工・引き渡しのタイミングで一覧にして削除します。現場事務所のタブレットの共通IDは廃止し、多要素認証を全員に義務付けます。協力会社側で一つのIDを複数人で使っている場合は、元請として個人IDの発行を求めます。
  • VPN機器とリモートデスクトップを棚卸しし、更新と多要素認証を徹底する。現場事務所や支店から使っているVPN機器の型番と更新状況を一覧にし、サポートが終了した機器は入れ替えます。グループ会社や協力会社とネットワークを接続している場合は、相手側の機器が侵入口になることを前提に、接続範囲を工事に必要な部分に限定します。
  • 図面・工程・出来高データのバックアップと、紙で回す手順を決めておく。設備工事会社の事例では、電子取引を止めた期間を紙媒体で乗り切ったと公表されています。施工図、工程表、出来高管理表、注文書と請書のひな形をネットワークから切り離した場所に定期的に複製し、1か月間システムなしで現場を回すなら何が要るかを、現場代理人と経理で書き出しておきます。

元請・発注者・協力会社との契約で注意したい点

建設会社は、元請・発注者に対しては請負者、協力会社に対しては注文者という2つの立場を同時に持ちます。どちらの契約にも責任の定めがあり、その条項の書き方次第でサイバー保険が拾える範囲が変わります。

まず、元請・発注者との契約です。工事請負契約には、工期遅延に対する遅延損害金や違約金の定めが置かれるのが通常です。この定めに基づいて支払う金銭は、契約で約束した金銭であって法律上の損害賠償責任ではないため、サイバー保険では対象外になりやすい領域です。

同じ工期遅延でも、発注者が実際に被った損害について法律上の賠償責任を問う形で請求してきた場合の扱いは、違約金との切り分けを含めて商品や契約条件により分かれます。ここは契約時に保険会社へ確認する点です。

また、機密保持条項や情報管理条項で、過失の有無を問わず賠償する、損害額を一定額とする、といった定めを受け入れていると、法律上の責任を超えて特別に約束した部分として保険の対象から外れやすくなります。どの条項が保険の外側に出るのかを把握したうえで交渉します。

次に、協力会社との契約です。元請の立場では、協力会社に預けた図面や施主の情報が協力会社側で漏えいした場合、施主や発注者から見た責任の相手は元請です。自社が管理を委託した他人の情報の漏えいとして、元請の賠償責任はサイバー保険の対象になり得ます。

協力会社自身が負う責任や対応費用は、協力会社が被保険者でない以上、元請の保険では対象外になりやすい部分です。協力会社には協力会社の保険が必要で、基本契約書に事故時の通知義務、情報の返却・削除、保険加入の有無を書いておくと、事故後の整理が早くなります。

そして、事故が起きたら相手に責任を認める前に保険会社へ連絡することです。保険会社の同意なく賠償責任を承認したり補償を約束したりすると、その分が保険金から差し引かれる場合があります。元請や施主には、調査中であることと判明次第報告することだけを伝え、保険会社への事故通知を先に済ませます。公共工事なら、発注者への報告と並行して行います。

建設・設備工事会社がサイバー保険を検討するときに確認する点

日本損害保険協会の調査では、中小企業のサイバー保険加入率は全体で8.8%、建設業の回答者では4.2%にとどまります（出典：日本損害保険協会「中小企業におけるリスク意識・対策実態調査2025」2025年12月）。

同じ調査で建設業の請負賠償責任保険の加入率は31.5%ですから、建設業は物と身体の事故への備えに比べ、情報の事故への備えが進んでいない数字です。検討の前に整理しておきたい点を挙げます。SCS評価制度そのものの準備はSCS評価制度とは？★3・★4への準備手順を、制度と保険の役割分担はSCS評価制度とサイバー保険の違いを参照してください。

  • 預かっている情報と、情報を預けている相手の整理。施主の個人情報、元請から受け取った図面と見積、協力会社の口座と作業員名簿、従業員のマイナンバー。何を誰から預かり、どの協力会社とクラウドに置いているかを一覧にします。保険会社に業務内容を伝える材料になり、事故時の通知先の一覧にもなります。
  • システム停止による利益損害の要否。基本の補償には含まれないことが多く、任意で追加する形になります。基幹システムが1か月止まったときに失う利益と紙での運用の費用を見積もったうえで判断します。停止の起点が自社のシステムか、クラウドの事業者側かで扱いが変わるので、使っているサービス名を挙げて確認します。
  • なりすまし送金への備え。振込先変更をメールで受けている業務フローがあるなら、任意で追加する預貯金の不正送金などを対象にする補償を検討の対象にします。届出の条件や対象外の範囲は商品により異なります。
  • 設計業務の有無。設計行為に起因する賠償が対象外であることを前提に、建築士事務所向けの賠償責任保険との役割分担を整理します。
  • セキュリティ体制の申告。多要素認証の設定状況、バックアップ、権限管理、VPN機器の管理状況、過去の事故歴は告知の対象です。申告と実態が違えば事故の際に問題になるので、申告の前に実務対策を整えておきます。
  • グループ会社とJVの扱い。国内の子会社を同じ契約に含める方法はありますが、協力会社は同じ契約の被保険者にできないのが一般的です。JVの構成員をどう扱うかは商品や契約条件で分かれるため、契約時に保険会社へ確認する点です。

那由他保険テクノロジーズが建設・設備工事会社のサイバーリスクでご支援できること

ここまでの整理は一般論で、実際には自社がどの立場（元請か協力会社か、設計を行うか）でどんな情報を預かっているか、元請との契約の遅延損害金や情報管理条項がどう書かれているか、施工管理クラウドやVPN機器の構成はどうか、といった会社固有の論点で結論が変わります。

那由他保険テクノロジーズは、預かっている情報の種類と相手、協力会社との金銭と図面のやり取りの流れ、現場と本社をつなぐシステムの構成を起点にリスク構造を分析し、現在のご契約や検討中の商品の補償条件と突き合わせて、対象になる損害と対象外になる損害を切り分けます。

そのうえで、工事請負契約と協力会社との基本契約を保険の約款に照らして点検し、違約金や上乗せ責任として保険の外側に出る部分を確認します。契約の見直し点の整理から、請負業者賠償責任保険や建築士事務所向けの賠償責任保険との役割分担の設計、保険調達までを支援します。

相談の結果として得られるのは、「どの損害が保険で、どの損害が契約で、どの損害が自己負担か」を自社の工事請負契約と協力会社契約に即して切り分けた一覧と、元請や発注者に示せる現状の説明です。まだ何も手を付けていない段階でも構いません。分かっていることと困っていることを起点に、必要な確認事項を一緒に整理しますので、まずはお問い合わせください。

ご相談はこちら

建設業のサイバー保険の補償範囲を相談する

専用ページで資料請求・お見積もり

資料請求・お見積もりは無料、入力は約1分です。お電話（050-1725-4773／受付：平日9:00〜19:00）でも承ります。

よくある質問

協力会社になりすました請求書で振り込んでしまいました。サイバー保険の対象になりますか？

基本の補償ではなく、任意で追加する補償で、取引先になりすましたメールで錯誤させられた送金を対象にする商品があります。警察と金融機関の両方への届出が条件になり、組戻しなどで回収できた分は差し引かれるのが一般的です。送金規程に著しく違反していた場合は対象外になりやすいため、振込先変更の確認手順を決め、守った記録を残しておきます。

工期が延びて発注者から遅延損害金を請求されました。保険で対応できますか？

工事請負契約で定めた遅延損害金や違約金は、契約で約束した金銭であって法律上の損害賠償責任ではないため、対象外になりやすい領域です。発注者が実際に被った損害を法律上の賠償責任として請求してきた場合の扱いは、違約金との切り分けを含めて商品や契約条件により分かれます。契約時に、自社の工事請負契約のひな形を示して保険会社に確認しておきます。

設計施工で受けた物件で設計データが流出しました。設計の責任は対象外と聞きましたが、どうなりますか？

建築士の設計行為に起因する賠償責任は、資格に基づく行為として、サイバー保険では対象外とされるのが一般的です。一方、設計データが不正アクセスで流出し施主の情報が漏れた事故は、設計行為の誤りではなく情報の漏えいですから、対象になり得ます。設計業務中の操作ミスによる漏えいがどちらに当たるかは商品や契約条件によって分かれるため、設計業務を行っていることを契約時に伝えて確認してください。

協力会社の担当者のアカウントが乗っ取られ、施工管理クラウド上の図面が流出しました。誰の保険の話ですか？

流出した図面が元請から預かったものであれば、元請や施主から見た責任の相手は、クラウドを管理していた自社です。自社が管理する情報の漏えいとして、自社の賠償責任と対応費用はサイバー保険の対象になり得ます。協力会社自身が負う責任や対応費用は、協力会社が被保険者ではないため、自社の保険では対象外になりやすい部分です。

協力会社のアカウント経由の侵害の扱いは商品や契約条件によって分かれるため、クラウドを協力会社と共有していることを契約時に伝えて確認します。

多要素認証を設定していなかった場合、保険の対象外になりますか？

多要素認証の未設定そのものを対象外とする商品は一般的ではありません。契約時にセキュリティ体制を告知しており、告知した内容と実態が異なれば告知義務違反の問題になります。設定状況は正確に申告し、保険期間中に体制が変わった場合の通知の要否も確認しておきます。

参考一次情報

本記事は、建設・設備工事会社の担当者向けにサイバーリスクと保険の一般的な考え方を整理したもので、特定の保険会社、保険商品、保険契約、特約の内容を説明することを目的としたものではありません。記事中の「対象になり得る」「対象外になりやすい」といった記述は一般的な傾向を示すもので、実際に保険金が支払われるかどうかは、個々の保険契約の約款と事実関係に基づいて保険会社が判断します。ご契約内容の詳細や個別の事故については、ご契約の保険会社または取扱代理店にお問い合わせください。