建設業 × SCS評価制度 ― ゼネコン・専門工事会社が押さえる対応ポイント
SCS評価制度の全体像については SCS評価制度 対策ガイド もあわせてご覧ください。
建設業は、サプライチェーンの階層が最も深い業界のひとつです。発注者（施主・官公庁）から元請ゼネコン、一次下請、二次下請、専門工事会社、資材メーカーへと連なる構造は、SCS評価制度が想定する「取引先管理」の考え方と正面からぶつかります。
一方で、建設業のIT環境には固有の事情があります。現場事務所は数か月〜数年で立ち上がっては解散し、協力会社の職員が入り混じり、図面データはメールとファイル転送サービスで飛び交う——オフィス前提の対策がそのままでは当てはまりません。
この記事では、建設業がSCS評価制度にどう向き合うかを、階層別・論点別に整理します。
なぜ建設業でSCS評価制度が効いてくるのか
理由は3つあります。
1. 発注者側からの要求が下りてくる構造。 大手デベロッパーや官公庁が調達要件にセキュリティ水準を組み込めば、元請が下請に同じ水準を求めるのが建設業の商習慣です。★は「口頭の確認」を「共通の物差し」に置き換えます。
2. 公共工事という調達領域を抱えている。 SCS評価制度は将来的に政府調達の要件に組み込まれる方向で検討されています。時期や調達区分は未公表ですが、地方自治体を含む公共調達で参照される可能性は現実的です（政府調達への組み込みロードマップ、自治体・公共調達との関係）。
3. 攻撃を受けたときの影響が大きい。 工期の遅延は違約金に直結し、図面・積算データの流出は競争上の致命傷になります。建設業を狙ったランサムウェア被害も報告されています。
階層別：どこが★いくつを求められるか
| 立場 | 想定される目標 | 理由 |
|---|---|---|
| 大手・準大手ゼネコン | ★4 | 発注者から機密性の高い情報を預かり、多数の協力会社を管理する立場 |
| 一次下請・専門工事会社（中堅） | ★3〜★4 | 元請からの要求次第。設計データを扱う場合は★4を求められる可能性 |
| 二次下請・小規模専門工事会社 | ★3 | まずは基礎的な対策の実装と可視化 |
| 設計事務所 | ★3〜★4 | 設計データそのものを保有するため、情報管理リスクが高い |
| 資材メーカー・商社 | ★3 | 一般的なサプライヤーとしての位置づけ |
中小の専門工事会社が★4を目指す必要は通常ありません。 まずは★3（要求事項26項目・評価基準81件）を確実に満たすことを目標にしてください。
建設業特有の6つの論点
1. 現場事務所のIT環境
数か月単位で開設・撤収される現場事務所は、資産台帳から漏れやすい代表格です。★3では「PC・サーバー・ソフトウェア・ネットワーク機器の情報を把握する仕組みを整備し、年1回以上点検すること」が求められます。
実務としては、現場開設時と撤収時のITチェックリストを作るのが最も効きます。
- 開設時：持ち込む端末・モバイルルーター・複合機の登録、Wi-Fiの設定、アカウント発行
- 撤収時：端末の回収、アカウントの停止、データの回収と機器の初期化
Intuneやエンドポイント管理に端末を登録しておけば、台帳は自動更新されます（IT資産管理の基本）。
2. 図面・BIMデータの受け渡し
メール添付とフリーのファイル転送サービスが混在しているのが実態ではないでしょうか。★3では「機密情報を扱う外部情報サービス（クラウド等）を把握し、事業者と機密情報の取扱いを合意すること」が要求事項です。
まず「使ってよいサービス」を1〜2本に決め、それ以外を禁止するのが最短の対策になります。SharePoint / Google ドライブの共有リンク（有効期限・パスワード付き）に寄せれば、送信記録も監査ログに残り、証跡としても使えます（Driveの共有設定とリスク、シャドーITの原因と対策）。
3. 協力会社の職員が使うアカウント・端末
現場では、協力会社の職員に自社のアカウントやWi-Fiを使わせる場面があります。これは★3の取引先管理の要求事項（機密情報を共有する取引先との間で、業務開始前に機密情報の定義・利用制限・保管方法・返還/廃棄を取り決める）に直結します。
最低限、次の3点を書面化してください。
- 貸与するアカウント・端末の範囲と利用条件
- 現場で扱う情報の持ち出し可否（写真撮影を含む）
- 工事完了時のアカウント停止・データ返還／廃棄
（実装の型：委託先管理の実装ガイド）
4. 共有アカウントの常態化
「現場PCは共有、ログインはみんな同じID」——建設業で最も多いパターンです。★3のアクセス権限の管理（退職者アカウントの速やかな無効化等）や、★4の認証サーバのログを月1回以上モニタリングという要件は、共有アカウントでは実質的に成立しません。
一人一アカウントへの移行は負担が大きく見えますが、M365 / GWSではライセンスの割り当てを整理すれば実現できます。現場の複合機やタブレットなど、どうしても共有が必要な機器は、利用範囲を限定し、共有である旨と管理方法を文書化して切り分けます。
5. 可搬媒体と写真
USBメモリでの図面受け渡し、スマートフォンでの現場写真——建設業では避けにくい実務です。可搬媒体の持込み・持出しの制限は★4の要求事項であり、★3では必須ではありませんが、情報管理ルールとしては早期に整理する価値があります。
現実的な設計は、「原則クラウド経由。やむを得ない場合は暗号化した貸与媒体のみ使用し、貸出簿に記録」です。
6. 発注者・元請からのチェックシート対応
すでに多くの元請が、独自のセキュリティチェックシートを協力会社に配布しています。★を取得しておけば、個別のチェックシート対応を大幅に省力化できる可能性があります。現時点でチェックシートに追われている企業ほど、★取得の投資対効果は高くなります（チェックシート対応の実務）。
進め方（★3・6か月モデル）
| 時期 | やること |
|---|---|
| 1か月目 | セルフチェックで現状把握。評価範囲（本社／支店／現場事務所）を決定 |
| 2〜3か月目 | MFAの全社適用、端末のインベントリ登録、マルウェア対策とパッチ運用の統一 |
| 3〜4か月目 | ファイル共有の一本化、現場の開設・撤収チェックリスト整備、共有アカウントの棚卸し |
| 4〜5か月目 | 規程・台帳・インシデント対応手順・協力会社との取り決めの文書化 |
| 5〜6か月目 | 教育・訓練の実施と記録、バックアップと遠隔地保管・リストア手順書の整備 |
技術面はM365 / GWSでの実装ガイド、文書面は文書化テンプレート集が対応します。
情シス365による支援
情シス365では、建設業のIT運用支援とSCS対応をあわせて提供しています。
- 現場を含む資産の可視化： 本社・支店・現場事務所の端末とアカウントを台帳化
- ファイル共有の設計： 図面・BIMデータの受け渡しをクラウドに一本化し、証跡が残る形に
- 協力会社対応： 貸与アカウント・端末の管理ルールと、取り決め書のひな形整備
- 現場の開設／撤収運用： チェックリスト化して属人性を排除
建設業のIT課題全般は建設業のIT支援もご覧ください。
まとめ
- 建設業は階層が深く、発注者→元請→下請と要求が下りてくる構造。★は共通の物差しとして機能する
- 中小の専門工事会社はまず★3。設計データを扱う設計事務所や大手ゼネコンは★4が視野に入る
- 特有の論点は、現場事務所の端末管理・図面データの受け渡し・協力会社のアカウント・共有アカウント・可搬媒体
- 現場の開設／撤収チェックリストとファイル共有の一本化が、費用対効果の高い最初の一手
- 公共工事での要件化は未確定だが、チェックシート対応の省力化だけでも投資回収の目処は立つ
参考リンク：