【脱PPAP】問題視される原因と代替案

2024.01.24

パソコンを見つめる女性

PPAP(ピーピーエーピー)は、2000年代に添付メールでのやりとりの際にメールの盗聴や誤送信を防ぐためにセキュリティ対策として普及し、これまで多くの企業に導入されてきました。しかし、近年ではセキュリティ対策として不十分であることが判明し、2020年に内閣府がPPAPの廃止を発表したことで脱PPAPに向けた取り組みを進めている企業が増えています。その一方で、さまざまな原因により現在もなおPPAPを廃止できない企業も多く存在します。今回はPPAPの問題点やPPAPの廃止が進まない原因、PPAPの代替案などについてご紹介します。

PPAP(ピーピーエーピー)とは、『Password付きZIPファイルを送ります』『Passwordを送ります』『Aん号化(暗号化)』『Protocol(手順)』のそれぞれの頭文字を取った言葉で、取引先や顧客など社外の相手とファイルを受け渡しする際に暗号化したパスワード付きZIPファイルをメールに添付し、その後別メールで解凍用のパスワードを送信するセキュリティ対策のことで、国内の企業や公共団体を中心に広く利用されている手法です。PPAPはファイル送信時のセキュリティリスクの軽減・盗難防止・送信対策に効果があると考案され、パソコンに標準搭載されている機能を利用して対応できるため費用もかからないなど導入のしやすさもあり、2011年ごろから国内で多くの企業に普及されるようになりました。しかし、現在ではセキュリティ対策として十分ではないことが指摘され、PPAPを禁止する企業が増えています。

PPAPの仕組みの図

2020年11月に当時の平井卓也デジタル改革担当大臣は「自動暗号化ZIPファイルを廃止する」方針を示し、内閣府・内閣官房で採用されていたPPAPの廃止を発表しました。また、代替案としてクラウドストレージサービスを活用する方針(双方でパスワードを決めたうえでファイル送信を行う・電話や別の方法でパスワードを通知するなどの方法)も発表されました。さらに翌年(2021年)12月に文部科学省は公式サイトですべてのメール送受信においてPPAPを廃止することを発表し、民間企業においても脱PPAPを宣言する企業が続きました。

近年では、PPAPはZIPファイルとパスワードが記載されたメールを別々に送信しているものの通信経路が同じのためセキュリティ性が低いと考えられるようになりました。次に、その他PPAPが問題視されている点をご紹介します。

ウイルスの感染経路になる危険性

PPAPはZIPに圧縮したファイルを送信しますが、多くのウイルス対策ソフトはZIPファイル(暗号化されたファイル)の中身を検査することができません。つまりマルウェアが含まれているファイルかどうかの判断ができないため、ウイルス対策ソフトのチェックをすり抜けてパソコンへの侵入を許してしまう危険性があります。近年では*EmotetやランサムウェアのようにZIPファイルを狙うマルウェアの続出により、PPAPのファイル共有手法の危険度がますます高くなりました。実際に、過去Emotetが大流行した原因の一つとしてPPAPが感染経路に利用されているケースが挙げられています。

情報漏えいのリスク

メールアドレスの打ち間違えやBCCで連絡先の選択を間違えるなど誤送信してしまうリスクがあります。また、PPAPで設定されるパスワードは日付など簡易的文字列で生成されたり使い回したりするケースが多く、仮にパスワード付きZIPファイルだけを誤送信した場合も容易にパスワードを解読される危険性があります。

生産性の低下

ヒューマンエラーを発生させることなくPPAPを利用するためには、ファイルをパスワード付きZIP形式にしたうえで1通目のメールに添付したZIPファイルが解凍用に設定したパスワードで展開できるか・送信する宛先に誤りがないかを確認したうえでメールを送信し、2通目のメール本文に記載したパスワードと送信する宛先に誤りがないかを確認したうえで送信するなど、複数の作業が発生し手間がかかります。

ZIPの暗号強度が脆弱

主なZIPの暗号化方式は「ZipCrypto (Standard ZIP 2.0)」と「AES-256」の2種類で、AES-256は暗号鍵長が長く安全性が高いもののWindows標準では復号できません。一方、ZipCryptoは強度が低いため簡易的なパスワードを設定した場合、短時間で突破される可能性があるものの幅広いOSで採用されているため、ZipCryptoが使われることが多いです。また、ZIPファイルのパスワードは何度入力ミスをしてもロックされることがないため、総当たりで入力することでいずれパスワードを突破される可能性があります。

PCを操作するハッカー

< マルウェアに関する記事はこちら >

上記に記載したようにPPAPはセキュリティの脆弱性が問題視され、PPAPを禁止する企業も増えている一方、今もなお使い続けている企業も存在します。次に、現在もPPAPを使い続けている企業が廃止できない理由についてご紹介します。

PPAPを使用している取引先がある

取引先がPPAPを使い続けている場合、一方的にPPAPを廃止してしまうとコミュニケーションが取れなくなります。そのため、取引先への事前告知や段階的な実施などの対応が求められます。また、取引先のセキュリティポリシーの中に添付ファイルのZIP暗号化とパスワードの送信が定められているなど、すぐに改変することができないケースもあります。

代替案を導入するコストがかかる

上記に記載したようにPPAPはパソコンに標準搭載されている機能を利用するため、導入時や運用するうえでコストは発生しません。しかし、PPAPの代替案として新しいシステムやツールを導入する場合は導入コストや運用コストが発生することになります。

商習慣として根付いている

PPAPはセキュリティ対策として十分ではないことが指摘されているものの、日本では会社の規則やルール・セキュリティ上の誤解などにより商習慣として広く浸透しています。

その他、「PPAPを使うことで少ながらずセキュリティ対策を実施しているという気持ちになる」「取引先にセキュリティ対策を実施していることを明示的に示せる」などの理由もPPAPを廃止できない原因として挙げられています。

PPAPの代替案を検討する上で重要なポイントは「セキュリティリスクの対策により安全性が担保されていること」「利用者の利便性を損なわないようにすること」です。次に、PPAPの代替案として有効的な手段についてご紹介します。

クラウドストレージサービス

ファイルをクラウドストレージ上に保管し、通知したURLからファイルをダウンロードする方法です。パスワードを設定する必要もなく、場所やデバイス問わずファイルにアクセスすることができます。ただし、無料ツールの場合は詳細な権限設定ができないため、情報漏えいや改ざんなどの危険性があります。

ファイルとパスワードの通信経路を変える

ZIPファイルとパスワードを別の通信経路で送る方法です。ZIPファイルはメールで送り、パスワードはチャットや電話など既に利用しているツールを活用するなど、すぐに対応できる代替案です。ただし、メールの誤送信に注意する必要や通信経路が2種類あるため送受信双方に手間がかかるなどのデメリットがあります。

ファイル転送サービスを利用する

ファイル転送サービスもPPAPの代替案として気軽に取り入れやすい手段です。ファイル転送サービスを利用するとインターネット上でファイルの送受信ができます。送受信者はファイルをアップロードし、ダウンロード用URLを取得します。そしてダウンロード用URLを受信者側に伝え、受信者側がURLにアクセスしてファイルをダウンロードする仕組みです。ファイル転送サービスの中には無料かつ登録が不要なサービスも存在します。ただし、ダウンロードできる期間が限定されている・URLを誤送信した場合、第三者にアクセスされる可能性がある・不正アクセスを検知するためのログ管理機能がないサービスもあるなど、いくつかの懸念点があります。そのため、導入する場合はセキュリティ面に考慮し、必要な機能がついているサービスかを事前に確認する必要があります。

S/MIMEでファイル送信する

「S/MIME」(Secure/MultipurposeInternetMailExtensions)でメール自体を暗号化する方法です。メールが暗号化されているため、万が一盗聴された場合でも内容の解読はできません。また、電子署名を用いることで送信者の身元を証明できるため、なりすましや改ざんを防止できます。ただし、送信者側と受信者側の双方がS/MIMEに対応している必要があるため導入のハードルが高いです。

パソコンとセキュリティ対策のイメージ画像

― PPAPとは?
― 国内での脱PPAPの動き
― PPAPの問題点
― PPAPを廃止できない企業の現状
― PPAPの代替案として有効的な手段

国内での脱PPAPの動きは加速しているものの、さまざまな理由によりPPAPを廃止できずに悩んでいる企業もまだ多くいらっしゃいます。しかし、PPAPはセキュリティ対策としてリスクの高い情報伝達手段のため、別のシステムへの置き換えを検討すべきセキュリティ対策です。マルウェアの感染や情報漏えいなどの被害に遭い、自社が信用失墜するような事態になる前にPPAPの代替案を検討・導入することを推奨します。


社内LAN・Wi-Fi環境無料診断のバナー
メルマガ新規登録の案内バナー
一覧に戻る