情報セキュリティ対策4つを宅建事業者が実践する全手順
セキュリティ対策はITツールを入れれば終わりではなく、運用しない限りは1円の保護にもなりません。
情報セキュリティ対策4つの基本：宅建業者が守るべきルールの全体像
「セキュリティ対策はIT担当者だけがやること」と思っていませんか。実は、不動産業界における情報漏洩の原因の約87.7％は内部要因（内部不正＋ヒューマンエラー）とされており、サイバー攻撃（約8.0%）の10倍以上にも上ります（※）。つまり、どれほど高機能なセキュリティソフトを導入しても、社員の行動や組織の仕組みが伴わなければ、情報漏洩は防げません。
宅建業法第45条は、宅建業者およびその従業者に対して守秘義務を課しています。業務上知り得た秘密を正当な理由なく第三者に漏らすことは違反となり、廃業後・退職後も同様に義務が続きます。さらに個人情報保護法の改正により、違反した法人には最大1億円以下の罰金が科される可能性があります。これは罰則です。
情報セキュリティ対策4つの土台となるのが、国際規格ISO/IEC 27002が示す「4つの管理策」です。
- 📋 組織的管理策：セキュリティポリシーや役割分担などの「ルールと体制」づくり
- 👥 人的管理策：従業員の教育・意識向上・制裁規定の整備
- 🔒 物理的管理策：オフィスや書類・端末の物理的な保護
- 💻 技術的管理策：システム・ネットワーク・ソフトウェアによる防御
つまり4領域すべてをカバーすることが原則です。1つでも欠けると、そこが突破口になります。宅建事業者として最低限押さえておくべき義務と全体像を、ここからセクションごとに詳しく解説します。
※参考：内部に起因する情報漏洩割合について
情報セキュリティ対策4つのうち「組織的管理策」：宅建事業者のセキュリティポリシー整備
組織的管理策とは、情報セキュリティに関する「ルール・役割・責任」を文書化して組織全体に共有する取り組みです。「なんとなく情報は慎重に扱うように」という口頭の指示では足りません。誰がどの情報にアクセスできるのか、問題が起きたときに誰に報告するのか、これらを明確に決めて書面に落とすことが最初の一歩です。
不動産業界では、顧客の氏名・住所・電話番号・資産情報・契約条件など、他業種と比べても特に機密性の高い個人情報を日常的に大量に扱います。Adobe社の調査（2022年）によれば、不動産業界で契約書類を紙で処理している企業の割合は全業種中最高の73.3%でした。意外ですね。デジタル化への移行が急速に進む今、紙のルールとデジタルのルールを両輪で整備する必要があります。
具体的に整備すべき主な書類・ルールは以下のとおりです。
- 📄 情報セキュリティポリシー：会社としての基本方針を明文化する
- 🗂️ 情報資産の分類と管理ルール：どの情報を誰がどう扱うか決める
- 🔑 アクセス制御ルール：職務に応じてアクセス権限を制限する
- 🚨 インシデント対応手順書：漏洩発覚時の報告経路・初期対応を明確化する
- 🤝 外部委託管理ルール：クラウドサービス事業者や業務委託先へのセキュリティ要求を契約に盛り込む
中小規模の宅建業者でも、IPAが提供している「情報セキュリティポリシーサンプル」を活用すれば、専門家なしでも一定水準の文書を作成できます。ポリシーは必須です。一度作って終わりにせず、年に1回は内容を見直して更新することが重要です。特に電子契約・IT重説の運用を始めた場合、紙時代のポリシーはすでに実態と乖離しているケースが少なくありません。
国土交通省が公開する、宅建業者向けの電子交付・IT重説に関するセキュリティ対応の考え方が参考になります。
重要事項説明書等の電磁的方法による提供及びITを活用した重要事項説明（国土交通省）- セキュリティ懸念がある場合の対応方針を含む
情報セキュリティ対策4つのうち「人的管理策」：不動産業の内部不正と退職者リスクへの備え
人的管理策の中で、宅建事業者が特に注意すべきなのが「退職者による顧客情報持ち出し」です。実際に、住宅販売会社の元従業員が退職前に64件の顧客情報を転職先に持ち出して逮捕された事例や、マンション管理会社の元従業員が顧客情報約5,000件を外部に売却していた事例が報告されています。これは他人事ではありません。
退職者が情報を持ち出した場合、個人情報保護法の違反として、法人には最大1億円以下の罰金が科される可能性があります。さらに被害を受けた顧客1人あたり3,000円〜最大35,000円程度の損害賠償も発生します。顧客リスト100件分が流出した場合の賠償総額は、軽くても30万円以上、センシティブな情報が含まれれば350万円を超えるケースもあります。
人的管理策として、宅建事業者がすぐに取り組めることを以下に整理します。
- 🎓 セキュリティ教育の定期実施：フィッシングメールの見分け方・誤送信防止・パスワード管理を繰り返し周知する
- 🔐 パスワードポリシーの策定：英数字記号を混在させた12文字以上、サービスごとに異なるパスワードを義務化する
- 🚪 退職時の即時対応チェックリスト：全アカウントの無効化・端末回収・アクセスログ確認を退職当日に完了する
- ⚠️ 制裁規定の明文化：違反した場合の処分内容（降格・懲戒解雇等）を就業規則に盛り込む
退職者のアカウント削除は、翌日以降では遅いケースもあります。退職当日が条件です。人的対策の抜け穴は、意外なほど「手続きのズレ」から生まれます。チェックリストを退職手続きフローに組み込んでおくことで、ヒューマンエラーによる取りこぼしをほぼゼロにできます。
不動産業界に特化した情報持ち出しリスクと実例の詳細はこちらが参考になります。
不動産会社が知るべき情報持ち出しリスクと対策方法（エルテス）- ログ監視・内部不正対策の実践方法を解説
情報セキュリティ対策4つのうち「物理的管理策」：書類・端末・オフィス環境のリスク管理
物理的管理策は「デジタル化が進んだ今では不要では？」と思われがちですが、むしろ盲点になりやすい領域です。実際に不動産会社で発生した情報漏洩の原因には、「USBメモリや端末の紛失・置き忘れ」「重要書類の持ち出し」といった物理的な経路が含まれています。
宅建事業者のオフィスには、契約書・登記書類・顧客の銀行口座情報が混在していることも珍しくありません。これらが鍵のかかっていないキャビネットに無造作に保管されていたり、シュレッダーせずにゴミ箱に捨てられたりしているケースは、規模の小さい業者ほど起こりやすいと言われています。厳しいところですね。
具体的に整備すべき物理的管理策は次のとおりです。
- 🚪 入退室管理：重要情報が置かれた部屋・エリアへのアクセスをICカードや鍵で制限する
- 🗄️ 書類・記録媒体の施錠保管：顧客情報や契約書類は必ず鍵付きのキャビネットに収納する
- 💻 端末の盗難防止：ノートPCにはワイヤーロックを設置し、持ち出しルールを明確にする
- 📄 書類廃棄のルール化：顧客情報が記載された書類は必ずシュレッダーにかける手順を義務化する
- 🖥️ クリアデスク・クリアスクリーンポリシー：席を離れる際には書類を片付け、PCをロック状態にする
外出が多い宅建業者の場合、ノートPCやタブレットを社外に持ち出す機会も多いはずです。端末には必ずビットロッカー（BitLocker）等のストレージ暗号化を設定しておくことで、万が一の紛失・盗難時にも情報漏洩リスクを大幅に下げられます。暗号化は無料です。Windowsに標準で搭載されている機能なので、コストをかけずに今日から設定できます。
情報セキュリティ対策4つのうち「技術的管理策」：不動産業のランサムウェア・不正アクセス対策
技術的管理策の重要性は、近年の不動産業界へのサイバー攻撃増加が証明しています。名古屋の不動産会社「住みかえ.net」は2025年3月にランサムウェア攻撃を受けてサーバーが停止し、影響範囲の特定に数週間を要しました。また、2024年には国内でランサムウェア被害の公表件数が過去最多の84件に達しています。このうち約8割が侵入経路不明という報告もあります。
不動産業者を狙う攻撃の典型的な侵入経路は、①フィッシングメールへのクリック、②VPNや管理画面への弱いパスワードによる不正ログイン、③ソフトウェアの脆弱性の悪用です。これは防げるリスクです。技術的管理策を正しく実装することで、大部分の攻撃は遮断できます。
| 対策 | 内容 | 優先度 |
|---|---|---|
| 🔑 多要素認証（MFA） | パスワード＋SMSや認証アプリの組み合わせ。メールやクラウドの不正ログインを大幅に防止する | ⭐⭐⭐高 |
| 🛡️ マルウェア対策ソフト（EDR） | 未知のマルウェアにも対応できる次世代型アンチウイルス（NGAV）やEDRの導入 | ⭐⭐⭐高 |
| 🔄 ソフトウェア更新 | OSやアプリのセキュリティパッチを速やかに適用し、既知の脆弱性を解消する | ⭐⭐⭐高 |
| 📊 アクセスログの取得・監視 | 誰がいつどのファイルにアクセスしたかを記録し、内部不正の早期発見と証拠保全に活用する | ⭐⭐中 |
| ☁️ データのバックアップ | ランサムウェアによる暗号化被害に備え、オフライン・クラウドの2拠点バックアップを取る | ⭐⭐中 |
多要素認証（MFA）は多くのクラウドサービスで無料で設定できます。設定は数分で完了します。メールサービスやクラウドストレージ（Google Workspace、Microsoft 365など）の管理画面から今すぐ設定することをお勧めします。
また、バックアップは「取っているつもり」では不十分です。実際に復元できるかを定期的にテストしてこそ、意味のあるバックアップと言えます。年に1回の復元訓練が条件です。
IPA（情報処理推進機構）が発表した「情報セキュリティ10大脅威2025」では、ランサムウェアによる被害が11年連続1位となっています。技術的対策の最新動向はIPAの公開資料が参考になります。
情報セキュリティ10大脅威2025 組織編（IPA）- ランサムウェアを含む最新脅威と対策の解説
情報セキュリティ対策4つを宅建事業者が継続運用するために：SECURITY ACTIONとSMSP活用
ここまで4つの管理策を解説しましたが、「どこから手をつければいいかわからない」という方も多いはずです。そのような場合に活用できる公的な取り組みが2つあります。
1つ目は、IPA（情報処理推進機構）が提供する「SECURITY ACTION（セキュリティアクション）」です。これは、中小企業が自社のセキュリティ対策を宣言する制度で、一つ星・二つ星の2段階があります。宅建業者の中にも一つ星を取得している事務所があります。いいことですね。取得することで顧客や取引先への信頼性向上にも繋がり、費用は無料です。
2つ目は、「中小企業向けサイバーセキュリティ対策の極意（通称：サイバーセキュリティお助け隊サービス）」です。月額数千円〜で、異常検知・初動対応支援・相談窓口がセットになったサービスが受けられます。専任のIT担当者を置けない小規模な宅建業者にとって、特に費用対効果の高い選択肢です。これは使えそうです。
継続的なセキュリティ運用の流れとしては、以下のサイクルが基本です。
- 🔍 現状把握（リスクアセスメント）：どんな情報をどこに保管しているか棚卸しする
- 📝 ポリシー整備：4つの管理策に基づいたルールと手順を文書化する
- 🎓 教育・訓練：年1〜2回のセキュリティ研修と、フィッシング模擬訓練を実施する
- 🔧 技術的対策の実装：MFA・バックアップ・パッチ適用を継続的に管理する
- 🔄 定期見直し：年1回のポリシー更新と、インシデント発生後の振り返りを行う
宅建業者にとって情報セキュリティは、顧客の資産を守る「業務そのもの」です。結論はシンプルです。4つの管理策を1つずつ着実に実装し、小さくても確実に回る「継続の仕組み」を作ることが、信頼できる宅建業者としての土台になります。
不動産業界の個人情報保護に関するガイドラインは国土交通省が整備しており、宅建業者が参照すべき規範が示されています。