安全なファイル共有とは？
PPAPの情報漏洩リスクとその対策

PPAP問題

PPAPとは、暗号化したパスワード付き zipファイルをメールに添付し、その後解凍用パスワードを別メールで送信するセキュリティ対策の方法です。主に社外の取引先にファイルを共有する際の、企業間のセキュリティ対策手段として浸透してきました。

現在では問題点が指摘され、PPAPを禁止する企業が増えています。

PPAPとは「パスワード付き zipファイル」を送信する手順をもじった略語です。

P：「Passwordつきzip暗号化ファイルを送ります」
P：「Passwordを送ります」
A：「Aん号化（暗号化）」
P：「Protocol（プロトコル）」

PPAPを利用することで発生するリスク

暗号化されたzipファイルからのマルウェア感染

添付ファイルを利⽤した標的型攻撃が増加していますが、パスワード付きzipファイルで暗号化されていると、従来のセキュリティチェックサービスでは悪意あるウイルスの実⾏プログラムを検知・除去することができません。実際に「Emotet」と呼ばれるマルウェアの流⾏では、多くのPPAPを利⽤する企業が被害を受けました。

盗聴対策の効果が低い

添付ファイルをzipで暗号化する⽅法は過去に送信経路上での盗聴を防ぐために始まった⼿法ですが、今では、ほとんどのメールサーバーが暗号化通信を⾏っており、経路の途中で盗聴されるリスクはほぼありません。セキュリティインシデントの多くは、メール受信経路ではなく、エンドポイントで発⽣しています。

誤送信（宛先間違い）のリスク

PPAPでは、1通⽬のファイルを添付したメールと2通⽬のパスワードを記載したメールを同じ宛先に送信するため、誤送信の対策にはなりません。また、ファイル本体をメールに添付して送信するため、後からファイルを削除して取り消すこともできず、誤送信による情報漏洩が発⽣すると被害が拡⼤する可能性もあります。

政府や企業で加速する「脱PPAP」

問題点が多く利用が疑問視されてきたPPAPを廃止しようと、
現在、政府や企業の間で「脱PPAP」の動きが広がっています。

政府の動き

2020年11月、平井卓也デジタル改革担当大臣（当時）が中央省庁で「自動暗号化ZIPファイルを廃止」する方針を示し、内閣府および内閣官房でPPAP廃止を表明しました。

国民から意見を募るWebサイト「デジタル改革アイデアボックス」で、「脱PPAP」が投票数1位の支持を得た結果を反映したものです。

平井大臣の記者会見は大きな話題となり、2022年1月には文部科学省でもPPAPを廃止すると発表。また、脱PPAPを宣言する民間企業が続くなど大きな影響を与えました。

企業の対応

政府の発表を契機に、民間企業においてもPPAPを禁止する流れが加速しています。

そのほかの企業では、2020年12月にはクラウド会計ソフトのfreee、2021年12月には日立グループ、2022年2月にはソフトバンクなどが廃止を表明しています。

今後も企業におけるPPAP廃止への動きは続いていくとみられます。

どのPPAP対策を選ぶべきなのか？

	PPAP対策① ファイルとパスワードを別の通信経路で送る	PPAP対策② ファイル転送サービス	PPAP対策③ クラウドストレージ
安全性	×	△	◎
導入時の手間導入コスト	◎	○	○
運⽤時の⼿間運⽤コスト	×	△	◎
説明	別の経路を準備することは理論上安全です。しかし利用環境の準備と日々の運用の手間によりヒューマンエラーが起きやすい課題が残ります。	ダウンロード用URLを受信側に伝え、受信側がURLへアクセスしダウンロードする仕組みです。別途契約の必要があったり、ダウンロードURLの期限が切れてしまうと過去履歴の確認に再送してもらうなどの手作業が必要となります。	Google ドライブ™ 等のクラウドストレージにファイルをアップロードして、その共有リンクURLをメール等で共有する方法です。送信時のURLもSSLで暗号化される上に、誤送信をした場合も手元のストレージで共有リンクを止めることができるので、安全性の高いクラウドストレージを使用すれば、組織的にセキュリティを管理できます。