不動産会社は情報漏洩リスクが高い業種
不動産会社は、日常的に大量の個人情報を取り扱っています。
- 氏名、住所、電話番号、メールアドレス
- 勤務先、年収、家族構成
- 本人確認書類（運転免許証、マイナンバーカード等）
- 銀行口座情報
- 物件のオーナー情報
これらの情報が漏洩した場合、顧客への損害賠償、行政処分、会社の信用失墜など、深刻な影響を受けます。
不動産会社で実際に起きているセキュリティインシデント
| インシデント種別 | 具体例 |
|---|---|
| メール誤送信 | 顧客リストを別のお客様に送ってしまった |
| USBメモリの紛失 | 物件データ入りのUSBを電車に忘れた |
| フィッシング詐欺 | 偽のログイン画面でID・パスワードを窃取された |
| ランサムウェア | 社内PCが暗号化され、身代金を要求された |
| 退職者による持ち出し | 顧客データを持って競合他社に転職された |
| 紙資料の放置 | 顧客情報が書かれた書類をゴミ箱にそのまま廃棄 |
「うちは小さい会社だから狙われない」という考えは危険です。表の上半分は人のうっかりで起きる事故で、会社の規模は関係ありません。偽メールも、相手の規模を選ばず無差別に届きます。
業態で守るものが変わる
同じ不動産会社でも、手元に集まる情報は業態で違います。自社がどの情報を、どこに置いているかを先に書き出してください。
| 業態 | 特に集まる情報 | 置き場所で起きやすいこと |
|---|---|---|
| 売買仲介 | 本人確認書類、年収・勤務先（ローンの相談）、売主の登記情報 | 営業マン個人のメールやスマホに写真が残る |
| 賃貸仲介 | 入居申込書、勤務先・緊急連絡先、保証会社への提出書類 | 申込書のPDFをチャットやメールで回す |
| 賃貸管理 | オーナーの口座、入居者の連絡先、鍵の保管 | 鍵番号やオーナー情報を共有フォルダに置きっぱなし |
| 買取再販・投資用販売 | 売主・買主の資産状況、契約書、入金・督促の記録 | 退職した営業マンが顧客リストを持ち出す |
代表の宇田川は2014〜2018年、投資用不動産販売会社のバックオフィスで経理・契約・督促を担当し、kintoneで社内アプリを作っていました。契約や督促の記録は、営業全員に見せる必要のない情報です。「誰に見せる必要があるか」を業務ごとに決めてから置き場所を作る、という順番はそのころから変えていません。
今すぐ実施すべき10の対策
対策1：パスワード管理の強化
- 全アカウントで強力なパスワード（12文字以上、英数字記号混在）を使用
- パスワードの使い回しを禁止
- パスワード管理ツール（1Password、Bitwarden等）の導入を検討
対策2：二要素認証（2FA）の設定
- Google Workspace、Microsoft 365などの業務アカウントに2FAを設定
- ポータルサイトの管理画面にも2FAを設定
- SMSよりも認証アプリ（Google Authenticator等）を推奨
対策3：OSとソフトウェアの更新
- Windows/macOSのアップデートを毎月実施
- ブラウザ、Office、その他ソフトウェアも最新版に
- 自動更新を有効にする
対策4：ウイルス対策ソフトの導入
- 全PCにウイルス対策ソフトを導入
- リアルタイム保護を有効にする
- 定期スキャンのスケジュールを設定
対策5：データのバックアップ
- 重要データを定期的にバックアップ
- バックアップ先はクラウドストレージを推奨
- 3-2-1ルール（3つのコピー、2種類のメディア、1つはオフサイト）
対策6：アクセス権限の管理
- 必要最小限の権限のみを付与
- 退職者のアカウントは即日無効化
- 共有アカウントの使用を禁止
対策7：メール対策
- 不審なメールの添付ファイルは開かない
- URLをクリックする前に送信元を確認
- 重要な情報はメールで送らず、クラウドの共有リンクを使用
対策8：物理的なセキュリティ
- PCのスクリーンロックを離席時に必ず実施
- USBメモリの使用を原則禁止
- 紙の書類はシュレッダーで裁断
- 来客エリアから業務エリアへのアクセスを制限
対策9：Wi-Fiのセキュリティ
- 来客用Wi-Fiと業務用Wi-Fiを分離
- WPA3またはWPA2-AESで暗号化
- Wi-Fiパスワードを定期的に変更
- 不明なWi-Fiには接続しない
対策10：社員教育の実施
- 入社時のセキュリティ研修
- 年1回以上の定期研修
- フィッシングメールの模擬訓練
- インシデント発生時の報告フローの周知
セキュリティポリシーの策定
社内のセキュリティルールを文書化し、全社員に周知します。
含めるべき項目:
- パスワードポリシー
- デバイスの管理ルール（私用PCの業務利用の可否等）
- 個人情報の取扱いルール
- SNSの利用ルール
- インシデント発生時の対応手順
- 違反した場合の処分
10の対策をやる順番
10個を同時に始めると、どれも中途半端になります。費用がかからず、効果の大きいものから並べると次の順です。
| 順番 | やること | 費用 | 終わった目安 |
|---|---|---|---|
| 1週目 | 業務アカウントとポータル管理画面に二要素認証 | かからない | 全員のログインで認証アプリが求められる |
| 1週目 | OS・ブラウザの自動更新を有効にする | かからない | 全PCで更新待ちがない |
| 2週目 | 退職者・異動者のアカウントを洗い出して止める | かからない | 在籍者の名簿とアカウント一覧が一致する |
| 2週目 | 共有アカウント・共有パスワードをやめる | パスワード管理ツールを使うなら発生 | 1人1アカウントになっている |
| 1か月以内 | バックアップを取り、戻せるかを1回試す | 容量による | 実際に1ファイル戻せた |
| 3か月以内 | ポリシーを文書化し、研修をする | 外部に頼むなら発生 | 全員が読んだ記録がある |
ツールの料金は人数・台数・容量で変わるため、最新は各社の公式サイトで確認し、自社の台数で見積もってください。
バックアップは「取っている」だけでは足りません。一度も戻したことのないバックアップは、戻せるかどうか分かりません。
kintoneのような業務システムを使っているなら、権限の決め方と退職時の手順はkintoneの教科書 10章 権限とセキュリティにまとめています。結論は「個人名で権限を割り当てない」「退職者は削除でなく使用停止にし、担当と管理者を付け替える」です。
よくある失敗
従業員10名ほどの賃貸仲介会社で、全員が同じIDとパスワードでポータルの管理画面に入っていた、という形の失敗です。 退職した営業マンも同じパスワードを知ったままで、誰がいつ物件情報を変えたのかも追えませんでした。原因は、アカウントを1つしか契約していなかったことと、パスワードを変えると全員に知らせ直すのが面倒だったことです。1人1アカウントにできるなら人数分を用意し、できないサービスは管理者1名だけがログインし、退職者が出たら当日にパスワードを変える運用に切り替えるべきでした。
漏洩が起きたときに確認する先
個人情報の漏洩が起きたときに、どこへ報告し、本人にどう知らせる必要があるかは、会社が判断を誤りやすいところです。この記事では判断を書きません。個人情報保護委員会の公式サイトで漏えい等の報告の要否と手順を確認し、あわせて顧問の弁護士、所属する業界団体に相談してください。社内の報告フローには、この確認先の名前と連絡先を書いておきます。
COTSUBUでは社外CxO・IT顧問として、セキュリティ対策を含めたIT全般の判断を月額制でお引き受けしています（月15万円から、税別）。専任のセキュリティ担当者を雇用するのが難しい企業でも、必要な対策を段階的に進めることが可能です。
まとめ
情報セキュリティ対策は、不動産DXの大前提です。デジタル化を進めるほど、セキュリティの重要性は高まります。
- まずはパスワード管理と二要素認証から着手
- 社員教育を定期的に実施する
- セキュリティポリシーを文書化して周知する
- 費用のかからない対策から順に進める
- バックアップは戻せるかを試す
「うちは大丈夫」ではなく「もし漏洩したらどうなるか」を想像し、今日から対策を始めましょう。
関連リンク
よくある質問
小さな不動産会社でもセキュリティ対策は必要ですか
必要です。メールの誤送信や書類の紛失は会社の規模に関係なく起きますし、無差別に送られてくる偽メールは相手の規模を選びません。不動産会社は年収や本人確認書類、銀行口座情報まで日常的に扱うため、漏洩時の影響が大きい業種です。
セキュリティ対策は何から始めればいいですか
パスワード管理の強化と二要素認証の設定からです。12文字以上で英数字記号を混在させ、使い回しを禁止します。Google Workspace や Microsoft 365 などの業務アカウントに加えてポータルサイトの管理画面にも二要素認証を設定し、SMSより認証アプリを使ってください。
セキュリティ対策にはいくらかかりますか
二要素認証、OSの自動更新、退職者アカウントの停止のように、費用がかからず今日できる対策が先です。パスワード管理ツール、ウイルス対策ソフト、クラウドバックアップは人数やPC台数で費用が変わるため、最新の料金は各社の公式サイトで確認し、自社の台数で見積もってください。
不動産会社でよく起きる情報漏洩はどんなものですか
顧客リストのメール誤送信、物件データ入りUSBメモリの紛失、偽ログイン画面でのID・パスワード窃取が典型です。社内PCが暗号化されるランサムウェア、退職者による顧客データの持ち出し、顧客情報の書かれた書類をそのままゴミ箱に捨てる事例も起きています。
セキュリティの専任担当者がいない場合はどうすればいいですか
COTSUBUの「社外CxO・IT顧問」でセキュリティ対策を含めたIT全般の判断を月額制でお引き受けしています（月15万円から）。専任担当者を雇用するのが難しい企業でも、必要な対策を段階的に進められます。
