今年は酷暑ですが、そろそろ長期休暇期間が近づいています。
建設現場の作業休工や、現場事務所・本社の休業に伴い、システム管理者や現場責任者が不在となるこの時期は、サイバー攻撃者にとって「最も狙いやすいタイミング」なのです。
もし休暇中にランサムウェア感染などの重大なインシデントが発生した場合、検知や初動対応が大きく遅れ、休工明けの現場稼働停止、設計図面や調査データの消失・流出など、事業継続（BCP）に致命的な打撃を与える恐れがあります。
こうしたリスクに対応するため、独立行政法人情報処理推進機構（IPA）は2026年7月30日に「2026年度 夏休みにおける情報セキュリティに関する注意喚起」を公開しました。
本記事では、この注意喚起と、IPAが公表した「情報セキュリティ10大脅威 2026」の知見を融合し、建設・調査業界が今すぐ取り組むべき情報セキュリティ対策をわかりやすく解説します。
IPAが警鐘を鳴らす最新のセキュリティ動向
今回のIPAからの注意喚起と「10大脅威 2026」には、企業が注視すべき重要な動向が含まれています。
(1) 長期休暇における注意喚起のポイント
長期休暇中はシステム管理体制が手薄になるため、攻撃を受けた際の被害が拡大しやすい傾向にあります。特に最近では、インターネット接続機器の脆弱性を突いた「ネットワーク貫通型攻撃」が頻発しており、自社の機器が不正アクセスされるだけでなく、他者への攻撃中継点（ORB：Operational Relay Box）として悪用されてしまう事例が増加しています。
(2) 「情報セキュリティ10大脅威 2026（組織編）」の要点
IPAが選出した2026年版の組織向け脅威トップ3は以下の通りです。
第1位：ランサムウェア攻撃による被害
（データの暗号化と機密情報暴露による「二重恐喝」の常態化）
第2位：サプライチェーンや委託先を狙った攻撃
（セキュリティの手薄な取引先や業務委託先を経由した侵入）
第3位：AIの利用をめぐるサイバーリスク
（2026年版で初選出。業務での生成AI利用による漏えいや悪用リスク）
建設・調査企業特有の「3つの脆弱ポイント」
建設業や調査企業には、一般的なオフィスワークとは異なる特有の働き方やデータ管理の構造があり、これが攻撃者の標的となりやすい要素となっています。
Risk 1: 現場事務所や仮設ネットワーク機器の脆弱性
建設現場や現地調査拠点の仮設事務所では、ルーター、VPN機器、NAS（ネットワーク対応HDD）などが設置されますが、セキュリティ設定が初期状態のままであったり、ファームウェアの更新が放置されがちです。これが「システムの脆弱性を悪用した攻撃」や「ネットワーク貫通型攻撃」の進入路となります。
Risk 2: 協力会社・再委託先との多層的な情報共有（サプライチェーンリスク）
建設・調査業務は、元請け、協力会社、専門工事業者、測量・解析の再委託先など、多数のパートナーと図面や地権者情報、発注者（官公庁・インフラ企業等）の機密データを共有します。
「10大脅威 2026」の2位にあるように、自社の対策が万全でも、委託先や協力会社の端末が攻撃を受けることで、自社の重要データまで漏えいする危険性があります。
Risk 3: 現場持ち出し端末と「生成AI活用」に伴う情報漏えい
現地調査や施工管理のために日常的に持ち出されるスマートフォン、タブレット、ノートPCの紛失・盗難リスクに加え、現場Wi-Fiのセキュリティも課題です。
さらに、調査レポートや見積書の作成時に生成AIを利用するケースが増えていますが、ガイドラインがない状態で社外秘の測量データや構造物情報をAIに入力してしまうと、「AI利用に伴う情報漏えい（シャドーIT）」が発生します。
夏休み前後に実施すべきセキュリティ対策チェックリスト
長期休暇を安全に乗り切り、休暇明けてもスムーズに現場業務を再開するために、以下の対策を確実に実施しましょう。
【長期休暇前】予防と準備
ネットワーク機器・サーバーの脆弱性対策
現場事務所を含め、インターネット接続ルーター、VPN、NAS、サーバーのOS・ファームウェアを最新にアップデートする。不要なポートは閉じ、デフォルトパスワードを変更する。
改ざん耐性のあるデータバックアップの取得
重要なCAD図面、測量・調査データ、各種書類のバックアップを取得する。ランサムウェア対策として、バックアップデータはネットワークから切り離して保管（オフラインバックアップ）するか、WORM機能（書き換え不可機能）を利用する。
緊急連絡体制・インシデント対応フローの周知
休業中に異常が発生した場合の連絡網（CSIRT、システム担当者、外部ベンダー、警察・IPAへの相談窓口）を更新・周知しておく。
持ち出し端末のルール徹底
現場持ち出しPC・タブレットのID/パスワード管理を強化し、多要素認証（MFA）を導入する。不要な機密データは端末内に残さず消去する。
【長期休暇中】監視と遮断
不要な機器の電源オフ
休暇期間中に使用しない現場事務所のPC、サーバー、通信機器の電源を切り、物理的・論理的にネットワークから切り離す。
リモートアクセスのログ監視
管理者は、休業期間中に不正なログインや異常な通信ログがないかを確認できる体制を整える。
【長期休暇後】安全確認と再開
不審なメールへの警戒（フィッシング対策）
休業明けは未読メールが溜まるため、送信元の精査が甘くなりやすい時期です。取引先や発注者を装う標的型攻撃メールや不審な添付ファイル、URLリンクを軽率に開かないよう全社に周知する。
セキュリティ定義ファイルの更新
長期間停止していたPCや持ち出し端末は、業務を開始する前にOSやウイルス対策ソフトの定義ファイルを最新状態に更新する。
おわりに：信頼される建設・調査企業であり続けるために
建設・調査企業が取り扱うデータは、社会インフラや土地・建物に関わる極めて重要度の高い情報資産です。サイバー攻撃による業務停止や情報漏えいは、自社の経済的損失にとどまらず、発注者や社会からの信用を大きく損なう結果となります。
IPAの「情報セキュリティ10大脅威 2026」で示されているように、脅威は年々高度化しています。
夏休みの長期休暇を迎えるこのタイミングで、自社はもちろん、協力会社や現場事務所を含めたセキュリティ環境の総点検を行い、強固な防衛体制を整えましょう。
■ 引用・参照元リンク
本記事は、独立行政法人情報処理推進機構（IPA）が公開している以下の公式情報を基に作成しています。
2026年度 夏休みにおける情報セキュリティに関する注意喚起（IPA）
https://www.ipa.go.jp/security/anshin/heads-up/alert20260730.html
情報セキュリティ10大脅威 2026（IPA）
https://www.ipa.go.jp/security/10threats/10threats2026.html
