【CADとセキュリティ】企業の宝「設計データ」を守るための対策

日本の製造・建設業界は、今まさに大きなデジタルの波を迎えています。「2024年問題」に伴う働き方改革や、国が推進する「BIM・CIM（ビム・シム）」という3次元デジタル技術の導入が進んでいます。これにより、図面の共有や業務プロセスが一気に電子化されました。

しかし、業務が効率化する一方で、企業の心臓部である「設計・作図データ（CADデータ）」の流出リスクが急速に高まっています。設計図は、長年の技術が詰まった「企業の宝」です。

本コラムでは、最新のサイバー攻撃の手口や現場のセキュリティ上の落とし穴を整理し、専門用語をかみ砕いて解説しながら、大切なデータを守るための必須の対策を分かりやすくお伝えします。

急激なデジタル化の影で狙われる「企業の宝」

設計データが狙われている最大の理由は、それが「他社に高く売れる価値ある情報」だからです。

CADや3Dモデルデータには、新製品のデザインや独自の精密加工技術、重要施設の構造、見積価格など、企業の競争力を左右する情報がすべて含まれています。これらを狙う攻撃者にとって、設計データは身代金を取りやすい絶好の標的です。

近年では、公共工事の入札に関わる「積算（工事費の計算）」などのデータを狙った攻撃も増えています。データが暗号化されて開けなくなれば、工場の生産ラインや建設現場が完全に停止し、数億円規模の損失や社会的な信用の失墜につながりかねません。

現場に潜む「4大情報漏えいリスク」の実態

設計・施工現場で情報が流出するパターンは、外部からの侵入だけではありません。日々の業務の中にある「4つの隙」から発生しています。

1. 退職者や内部関係者による持ち出し（手土産転職）

退職や独立を控えた設計士や積算の担当者が、データを無断で持ち出す行為です。

USBメモリや個人用の無料クラウド（ネット上のデータ保存場所）に、企業のノウハウである図面や見積データをコピーし、転職の「手土産」にする事案が後を絶ちません。

2. データを人質にする 身代金要求ウイルス（ランサムウェア）

「ランサムウェア」は、パソコンのデータを暗号化し、復旧と引き換えに身代金を要求するウイルスです。最近は暗号化に加え「身代金を払わねば図面をネット公開する」と脅す「二重脅迫」の手口が主流です。

公開されれば、営業秘密の流出に加え、入札への参加資格を失うといった致命的な打撃を受けます。

3. 現場事務所やテレワーク環境の物理的な隙

現場の仮設事務所は、一般的なオフィスと違って埃が多く、電源も不安定です。また、自社の社員だけでなく、協力会社の作業員や業者など、不特定多数の人が頻繁に出入りします。そのため、パソコン本体の盗難や、画面ののぞき見、机の上に放置された図面の紛失といった物理的リスクが常に存在します。

また、自宅から会社のネットワークに接続する「VPN（接続を保護する機器）」の更新を怠り、古い状態のまま放置していると、そこがハッカーの侵入ルートになります。

4. 下請企業や外部の協力会社を経由した漏洩

共同で設計や施工を行う際、外部の協力会社に図面を渡す機会が多くあります。しかし、どれほど自社のセキュリティが頑丈でも、データを共有している協力会社の対策が不十分であれば、そこから図面が漏洩します。

セキュリティ対策が手薄な下請企業などのパソコンを踏み台にして、本社のシステムに入り込む巧妙な手口が横行しています。

現場特有の制約を克服する「物理防犯」と「基本ルール」

環境や予算に制約がつきやすい現場において、まずは基本となる「運用ルール」と「物理的な防犯」を整えることで、大半のリスクを防ぐことができます。

現場事務所の「3段階のゾーニング」

日本建設業連合会（日建連）のガイドラインでは、現場事務所の重要度に応じて場所を3つのレベルに分ける（ゾーニングする）ことを推奨しています。

建設現場における情報セキュリティガイドライン | 日本建設業連合会

• レベル1（共有スペース）：会議室や応接室など、外部の人が入るエリアです。来客用のWi-Fiと業務用のWi-Fiを完全に分離します。
• レベル2（執務スペース）：社員が作業をするエリアです。関係者以外は立ち入り禁止とし、パソコン本体には鍵付きのワイヤーを取り付けて事務机などに物理的に固定します。
• レベル3（最重要スペース）：特に重要なサーバーや通信機器を置くエリアです。常に鍵をかけ、入室できる担当者を限定します。

無線LAN（Wi-Fi）とアカウントの厳格な管理

現場事務所で使うWi-Fiは、最新の暗号化方式（WPA3など）を使用し、複雑なパスワードを設定します。また、誰がどの操作をしたかを後から追跡できるよう、ログイン情報を全員で使い回す「共有ID」は廃止し、原則として「1人につき1つの個人ID」を徹底して発行します。

現場作業員の意識向上と行動ルール

作業員に対し、工事に関する情報をネット上のSNSに投稿しないこと、現場の写真を無断で撮影しないことを周知・徹底します。また、情報の持ち出しを防ぐため、私物のUSBメモリや私用パソコンを業務に使うことを一切禁止し、会社が認めた安全な機器だけを使うルールを遵守させます。

データ漏えいを防ぎ、働きやすさも高める「3大・IT技術」

ルールに加えて、最新のITシステムを導入することで、現場に負担をかけずに頑丈な守りを築くことができます。

1.ファイルを暗号化して操作を縛る「暗号化・利用制限技術（DRM）」

もしもデータが外部に流出してしまったら――その最後の砦となるのが、ファイルそのものを暗号化する技術（DRM）です。
DRMの多くがCADの種類や拡張子、ファイルサイズを問わず、ほぼ全てのアプリケーションで「暗号化したまま」普段通りに編集・保存が可能です。
一般的に、DRMで制限できる項目は以下の通りです。

• 「編集・上書き」の制限：不要な改ざんを防ぎます。
• 「コピー＆ペースト」の制御：設計の一部をコピーして他のファイルに移す操作を防ぎます。
• 「印刷」や「画面コピー（スクリーンショット）」の禁止：紙や画像経由での持ち出しを防ぎます。
• 「有効期限」の設定：外部の協力会社に図面を渡す際、プロジェクト終了と同時にそのファイルが自動的に開けなくなる「時限消去」をかけることができ、二次漏洩を完全にシャットアウトします。

2. 安全にみんなで共有する「共通データ環境（CDE）」

国土交通省は、2025年から建築確認を3Dデータ（BIM）で行う「BIM図面審査」を開始するロードマップを公表しています。そのうち、申請する側と審査する側（行政など）が安全にデータを共有するために利用されるのが、「共通データ環境（CDE）」と呼ばれるクラウド上の保管庫です。

建築確認におけるBIM 図面審査ガイドライン（素案）などを公開しました。 – 国土交通省（外部リンク）

全員で備える「協力会社への広がり」と「もしもの時の初動5分手順」

セキュリティは、社内の一部の人だけが頑張っても意味がありません。取引先である協力会社を含めた「全員の意識」を揃える必要があります。

協力会社への説明と多言語での教育

元請企業は、協力会社と事前に機密保持の契約を結び、データの扱い方について同じルールを守るよう指導します。

最近では海外をルーツとした外国人作業員も多いため、日建連が提供している英語、中国語、ベトナム語、タイ語など「多言語に対応した教育用のアニメ動画やポスター」を活用し、言葉の壁を越えて現場の全員にルールを浸透させることが極めて効果的です。

もしもランサムウェアに感染したときの「初動5分手順」

万が一、ウイルス感染などのセキュリティ事故（インシデント）が発生した場合、焦って時間を浪費してはいけません。以下の初動手順を全員に徹底します。

1. すぐにネットワークから遮断する（1分以内）：周囲への感染拡大を防ぐため、有線LANのケーブルを即座に抜くなどして、Wi-Fiの接続を切ります。
2. 情報セキュリティ責任者にすぐに報告する（2分以内）：現場の責任者に報告し、システム部門への緊急連絡ラインを動かします。
3. 絶対に攻撃者の連絡先に連絡しない（5分以内）：交渉に応じると、さらなる身代金の要求や標的にされるリスクが高まります。
4. 公的な専門窓口への相談：システム部門による対応が難しい場合は、自社だけで解決しようとせず、以下の窓口へ速やかに連絡・相談を行ってください。

セキュリティはただの「コスト」ではない

CAD図面や設計データを守るセキュリティ対策は、一見すると「手間やお金がかかるだけのコスト」に思えるかもしれません。しかし、日本のものづくりを支える貴重な技術ノウハウ（知的財産）を安全に守ることは、企業の競争力を維持するための最大の基盤です。

また、セキュリティが強固な環境においては、購入者をサポートするメール窓口が設置されたCADソフトを使用することで、円滑に導入を進めることもできます。

CADソフトの比較は以下のページでも案内しています。ぜひご確認ください。

AutoCAD代替ソフトのおすすめを比較！メリット・注意点や無料版も紹介

CADライセンスどれがいい？買い切り・サブスク比較と選び方