PPAP（ピーピーエーピー）は、2000年代に添付メールでのやりとりの際にメールの盗聴や誤送信を防ぎ、データを安全に共有するためのセキュリティ対策として普及し、これまで多くの企業に導入されてきました。しかし、近年ではセキュリティ対策として不十分であることが判明し、2020年に内閣府がPPAPの廃止を発表したことで脱PPAPに向けた取り組みを進める企業が増えています。その一方で、さまざまな原因により現在もなおPPAPを廃止できない企業も多く存在します。今回はPPAPの問題点やPPAPの廃止が進まない原因、PPAPの代替案などについてご紹介します。
PPAP（ピーピーエーピー）とは、『Password付きZIPファイルを送ります』『Passwordを送ります』『Aん号化（暗号化）』『Protocol(手順)』のそれぞれの頭文字を取った言葉で、取引先や顧客など社外の相手とファイルを受け渡しする際に暗号化したパスワード付きZIPファイルをメールに添付し、その後別メールで解凍用のパスワードを送信するセキュリティ対策のことで、国内の企業や公共団体を中心に広く利用されている手法です。PPAPはファイル送信時のセキュリティリスクの軽減・盗難防止・送信対策に効果があると考案され、パソコンに標準搭載されている機能を利用して対応できるため費用もかからないなど導入のしやすさもあり、データを安全に共有する手法として2011年ごろから国内で多くの企業に普及されるようになりました。しかし、近年ではセキュリティ対策として十分ではないことが指摘され、PPAPを禁止する企業が増えています。
2020年11月に当時の平井卓也デジタル改革担当大臣は「自動暗号化ZIPファイルを廃止する」方針を示し、内閣府・内閣官房で採用されていたPPAPの廃止を発表しました。また、代替案としてクラウドストレージサービスを活用する方針（双方でパスワードを決めたうえでファイル送信を行う・電話や別の方法でパスワードを通知するなどの方法）も発表しました。さらに翌年（2021年）12月に文部科学省は公式サイト内で、すべてのメール送受信においてPPAPの廃止とクラウドストレージを利用したデータ共有の方式に全面変更することを発表しました。
内閣府がPPAP利用の廃止を発表したことで、2021年頃から大企業を中心に多くの民間企業においても脱PPAPの表明発表が続きました。
日立製作所は、2021年10月に公式サイトにて同年12月13日以降のすべてのメール送受信においてパスワード付きZIPファイルの利用廃止と、お客様や取引先様と日立グループとのデータ授受方法については適宜担当者と相談になる旨を発表しました。
ソフトバンクは、2022年2月に公式サイトにて同年2月15日以降、ソフトバンク従業員が業務で使用するメールアカウントにおけるパスワード付き圧縮ファイルの利用廃止と、ファイル授受方法については適宜担当者との確認が必要になる旨を発表しました。
伊藤忠テクノソリューションズ（CTC）は、脱PPAPプロジェクトを開始し、オンプレミスでの導入が可能・ユーザーの負担が少ない・コストパフォーマンスが優れているシステムとして2022年2月に「eTransporter」の導入を正式に決定し、同年5月末よりCTCグループ全体での本番運用を開始しました。
三菱重工業は2022年3月に三菱重工業の従業員が業務で使用するメールアカウントにおいてパスワード付き圧縮ファイルのメール利用を廃止する旨を発表しました。
その他、NTTデータ・SCSK・アステラス製薬・日清食品ホールディングスなど多くの大企業がグループ内外問わずPPAPを利用したファイル転送の廃止を表明しています。
近年では、PPAPはZIPファイルとパスワードが記載されたメールを別々に送信しているものの通信経路が同じのためセキュリティ性が低いと考えられるようになりました。以下、その他PPAPが問題視されている点をご紹介します。
PPAPはZIPに圧縮したファイルを送信しますが、多くのウイルス対策ソフトはZIPファイル（暗号化されたファイル）の中身を検査することができません。つまりマルウェアが含まれているファイルかどうかの判断ができないため、ウイルス対策ソフトのチェックをすり抜けてパソコンへの侵入を許してしまう危険性があります。近年では*EmotetやランサムウェアのようにZIPファイルを狙うマルウェアの続出により、PPAPのファイル共有手法の危険度がますます高くなりました。実際に、過去Emotetが大流行した原因の一つとしてPPAPが感染経路に利用されているケースが挙げられています。
*Emotet
偽装したメールを送りつけ、添付しているファイルやURLを聞かせることでウイルス感染させるマルウェアです。そして感染したパソコンから個人情報を窃取し、メールを使ってウイルスをばら撒きます。感染経路となる添付ファイルの種類はMicrosoft WordやExcelが確認されています。
メールアドレスの打ち間違えやBCCで連絡先の選択を間違えるなど誤送信するなど、情報漏えいが発生するリスクがあります。また、PPAPで設定されるパスワードは日付など簡易的文字列で生成されたり使い回したりするケースが多く、仮にパスワード付きZIPファイルのみを誤送信した場合も容易にパスワードを解読される危険性があります。
ヒューマンエラーを発生させることなくPPAPを利用するためには、ファイルをパスワード付きZIP形式にしたうえで1通目のメールに添付したZIPファイルが解凍用に設定したパスワードで展開できるか・送信する宛先に誤りがないかを確認したうえでメールを送信し、2通目のメール本文に記載したパスワードと送信する宛先に誤りがないかを確認したうえで送信するなど、複数の作業が発生し手間がかかります。
主なZIPの暗号化方式は「ZipCrypto (Standard ZIP 2.0)」と「AES-256」の2種類で、AES-256は暗号鍵長が長く安全性が高いもののWindows標準では復号できません。一方、ZipCryptoは強度が低いため簡易的なパスワードを設定した場合、短時間で突破される可能性があるものの幅広いOSで採用されているため、ZipCryptoが使われることが多いです。また、ZIPファイルのパスワードは何度入力ミスをしてもロックされることがないため、総当たりで入力することでいずれパスワードを突破される可能性があります。
また、PPAPを利用することで自社と同様に他社にもウイルス感染や情報漏えいが発生するリスクが伴います。そのため、取引先からの印象を悪くする・信用が損なわれる可能性があります。
＜ マルウェアに関する記事はこちら ＞
上記に記載したようにPPAPはセキュリティの脆弱性が問題視され、PPAPを禁止する企業も増えている一方、今もなお使い続けている企業も存在します。以下、現在もPPAPを使い続けている企業が廃止できない理由についてご紹介します。
取引先がPPAPを使い続けている場合、一方的にPPAPを廃止してしまうとコミュニケーションが取れなくなります。そのため、取引先への事前告知や段階的な実施などの対応が求められます。また、取引先のセキュリティポリシーの中に添付ファイルのZIP暗号化とパスワードの送信が定められているなど、すぐに改変することができないケースもあります。
上記に記載したようにPPAPはパソコンに標準搭載されている機能を利用するため、導入時や運用するうえでコストは発生しません。しかし、PPAPの代替案として新しいシステムやツールを導入する場合は導入コストや運用コストが発生することになります。
PPAPはセキュリティ対策として十分ではないことが指摘されているものの、日本では会社の規則やルール・セキュリティ上の誤解などにより商習慣として広く浸透しています。
その他、「PPAPを使うことで少ながらずセキュリティ対策を実施しているという気持ちになる」「取引先にセキュリティ対策を実施していることを明示的に示せる」などの理由もPPAPを廃止できない原因として挙げられています。
以下、ビジネスにおいて脱PPAPを導入することで得られるメリットについて解説します。
PPAPを利用することで、常にZIPファイルを介したマルウェアの感染や情報漏えいのリスクが伴っています。巧妙化するサイバー攻撃は攻撃手法も多様化しており、たとえセキュリティ対策ツールを導入していても完全にブロックすることは難しいため、いかに攻撃されるリスクを軽減するかが重要です。暗号化されたZIPファイルの送受信を廃止することでマルウェアやランサムウェアなどの危険なウイルスがセキュリティ対策ツールを擦り抜けるリスクを軽減することができます。また、PPAPはメールのやりとりする取引先も同様にマルウェア感染のリスクが伴うため、脱PPAPを導入することで自社だけでなく取引先へのセキュリティ環境の向上も見込めます。
PPAPを利用する場合、メールの送信者はファイル圧縮やパスワード設定を行ったうえで、ファイルを添付したメールを送信し、その後別のメールでパスワードを追送する作業が発生します。一方で、メールの受信者も２通のメールを確認しファイル解凍処理を行う作業が発生します。しかし、暗号化されたZIPファイルの送受信を廃止することでメール送信者・受信者それぞれの手間な作業がなくなるため、業務を効率化することができます。
PPAPの代替案を検討する上で重要なポイントは、データが暗号化されている・閲覧権限の設定ができる・資料の作業履歴が残るなど『セキュリティリスクの対策により安全性が担保されている』うえで『利用者の利便性を損なわないようにする』ことです。
以下、PPAPの代替案として安全かつ有効的な手段についてご紹介します。
ファイルをクラウドストレージ上に保管し、通知した共有URLからファイルをダウンロードする方法です。パスワードを設定する必要もなく、場所・デバイス問わずファイルへのアクセスが可能です。また、ファイルのダウンロードや閲覧・編集についてアカウントごとに権限設定することができるため、万が一共有URLを誤送信するなどのヒューマンエラーが発生した場合、権限設定されていない相手からファイルを閲覧されることはありません。ただし、無料ツールの場合は詳細な権限設定ができないため、情報漏えいや改ざんなどの危険性があります。
ZIPファイルとパスワードを別の通信経路で送る方法です。ZIPファイルはメールで送り、パスワードはチャットや電話など既に利用しているツールを活用するなど、すぐに対応できる代替案です。ただし、メールの誤送信に注意する必要や通信経路が2種類あるため送受信双方に手間がかかるなどのデメリットがあります。
ファイル転送サービスもPPAPの代替案として気軽に取り入れやすい手段です。ファイル転送サービスはインターネット上でファイルの送受信ができます。送受信者は特定のサイトにファイルをアップロードし、ダウンロード用URLを取得します。そしてダウンロード用URLを受信者側に伝え、受信者側がURLにアクセスしてファイルをダウンロードする仕組みです。ファイル転送サービスの中には無料かつ登録が不要なサービスも存在します。ただし、ダウンロードできる期間が限定されている・URLを誤送信した場合、第三者にアクセスされる可能性がある・不正アクセスを検知するためのログ管理機能がないサービスもあるなど、いくつかの懸念点があります。そのため、導入する場合はセキュリティ面に考慮し、必要な機能がついているサービスかを事前に確認する必要があります。
「S/MIME」（Secure/MultipurposeInternetMailExtensions）でメール自体を暗号化する方法です。メールが暗号化されているため、万が一盗聴された場合でも内容の解読はできません。また、電子署名を用いることで送信者の身元を証明できるため、なりすましや改ざんを防止することができます。ただし、送信者側と受信者側の双方がS/MIMEに対応している必要があるため導入のハードルが高いです。
― PPAPとは？
― 国内での脱PPAPの動き
― 脱PPAPを表明した大手企業
― PPAPの問題点
― PPAPを廃止できない企業の現状
― 脱PPAPを導入するメリット
― PPAPの代替案として有効的な手段
国内での脱PPAPの動きは加速しているものの、さまざまな理由によりPPAPを廃止できずに悩んでいる企業もまだ多くいらっしゃいます。PPAPはセキュリティ対策としてリスクの高い情報伝達手段のため、別のシステムへの置き換えを検討する必要があります。マルウェアの感染や情報漏えいなどの被害に遭い、自社が信用失墜するような事態になる前にPPAPの代替案を検討・導入しましょう。
