脱PPAPの対策が必要な理由は？ 5つの問題点と代替方法を紹介

「PPAP」という言葉をご存じでしょうか？情シス担当者やシステム関連の業務を行っている方には聞き慣れた言葉かと思いますが、PPAPとはパスワード付きzipファイルをメール送信してファイル共有する手段のことを指します。
国内で広く活用されてきたPPAPですが、セキュリティ面のぜい弱性が指摘され始めてから、政府機関から民間企業に至るまで廃止の動きが高まっています。PPAPを採用している組織は早急にPPAPに代わる対策が必要でしょう。

本記事ではなぜPPAP対策が求められているのか、問題点を解説するとともに、PPAPに代わるファイル共有方法についてご紹介いたします。

PPAPが見直されている背景

PPAPとは、2011年頃から政府機関や日本の民間企業で広く活用されてきた、パスワード付きZipファイルを使ったファイル共有手段を表す略語です。その手順は、①ファイルをZip形式で圧縮して暗号化、②パスワードを設定した上でメールに添付、③送信し、④その後、別メールにてパスワードを送信する、という流れになります。

このPPAPはファイルを暗号化し、設定したパスワードを別送することで、悪意のある第三者によるファイル閲覧や盗聴を未然に防いだりすることが期待されていました。

しかし、実際は期待されていたセキュリティ対策の効果はなく、逆にセキュリティリスクを抱えているなど、複数の問題点が指摘され続けています。PPAPの危険性を周知させるために、セキュリティ対策の専門家が当時の流行曲に引っかけて「PPAP」と呼んで揶揄（やゆ）しました。「PPAP」は、この手段を端的に説明する以下の言葉の頭文字をとったものです。

P　パスワード付きZip暗号化ファイルを送ります
P　パスワードを送ります
A　暗号化します
P　プロトコル（＝手段）

2020年11月、政府が「中央省庁においてPPAP方式によるファイルのやりとりを禁止する」との方針を発表したことが、大手企業を中心に廃止の動きを加速させるきっかけとなりました。当時はコロナ禍に伴うリモートワークの広がりで、PPAP方式でファイルをやりとりする機会が増えていた背景もあり、一気にPPAP問題が注目され始めました。
内閣サイバーセキュリティセンター（NIC）でも、PPAP問題の対策をはじめ、政府機関等全体としての情報セキュリティの確保を図っています。

PPAPが抱える5つの問題点

PPAPのリスクについて、具体的に見ていきます。以下の5つが挙げられます。

ファイルの受信側に負担がかかる
メールが盗聴される恐れがある
添付ファイルのウイルスチェックができない
誤送信により情報漏えいの恐れがある
ファイルを解析される可能性がある

1.ファイルの受信側に負担がかかる

PPAPは、ファイルの受信側に大きな負担がかかるといえるでしょう。まずパスワード付きZipファイルを受信すると、ファイルごとに設定されたパスワードを自分自身で管理しなければなりません。
頻繁に送受信する間柄であれば、PPAPの使用は受信側の生産性低下につながります。また、スマホやタブレット端末ではZipファイルの解凍に対応していない端末もあり、PCに比べてZipファイルの閲覧・管理に手間がかかる場合もあります。
ファイルの送受信におけるセキュリティ対策を考える場合、できる限り受信者の負担が少なくて済む手法を考える必要があり、かつもっと効率よく手間がかからない方法を選択するべきだといえます。

2.メールが盗聴される恐れがある

PPAPでは、メールが盗聴される可能性があります。その理由は、Zipファイルとパスワードを添付したメールは同じネットワークを通って送受信されるからです。
例えば、ネットワークに設置されているルーターが監視されていると、Zipファイルを添付したメールもパスワードを記載したメールもそのルーターを通過するため、その時に盗聴されてしまいます。Zipファイルを暗号化していてもメールは盗聴され、簡単にパスワードを知られてしまうのです。
これではZipファイルとパスワードを分けて送信する意味はありません。つまり、PPAPのセキュリティはぜい弱だということがわかります。

関連の記事をご用意しております。ぜひご覧ください。
▼ランサムウェアの感染経路は？感染被害や対策方法を徹底解説！

3.添付ファイルのウイルスチェックができない

PPAPの問題点の中で最も深刻なものとして、ウイルスチェックができないことが挙げられます。各種セキュリティ対策ソフトを導入している組織も多いかと思いますが、通常のセキュリティ対策ソフトでは、パスワード付きZipファイルのウイルスチェックはできない場合があります。
攻撃者もそのことを知っているため、パスワード付きZipファイルの送受信を行っている組織が狙われることは容易に想像できるでしょう。実際に、メール受信者がZipファイルを解凍する際にマルウェア「Emotet」へ感染してしまう被害も世界中で報告されています。

それらの問題からパスワード付きZipファイルの受信を拒否する組織が増えていることは事実です。今後各組織は、パスワード付きZipファイルが相手からブロックされてしまうことを想定し、新しいセキュリティ対策の導入やファイル共有サービスを検討する必要があるでしょう。

関連の記事をご用意しております。ぜひご覧ください。
▼Emotet（エモテット）の特徴と感染時の対策を解説

4.誤送信により情報漏えいの恐れがある

メールの送付は人間による操作であるため、誤送信の可能性はゼロではありません。それはPPAPでも同じで、パスワード付きzipファイルを送付する時に1通、パスワードを送る時に1通、合計で2通のメールが必要となります。その際、同じ送信元から送信先へほぼ同じ時刻に送られることが多いため、1通目のメールを誤送信した場合、2通目のパスワードも誤送信する可能性は高いでしょう。
このように誤送信は、本来の相手以外への情報漏えいにつながりかねません。
PPAPは誤送信してもパスワードを別送するため、情報漏えい対策になると考えられてきましたが、実際には防ぐことは不可能といえるでしょう。

5.ファイルを解析される可能性がある

④の問題と関連しますが、「1通目のZipファイルを添付したメールを誤送信してしまった」という場合でも、2通目のパスワードを知らせるメールはまだ送ってないから大丈夫、と安心してしまいがちです。
しかし、Zipファイルが相手に渡ってしまった時点で機密情報漏えいの危険性は非常に高くなっています。Zipファイルにはパスワードを一定回数誤って入力した場合でも、ファイルを削除するようなセキュリティ機能やシステムはありません。そのため、高い計算処理能力を持つコンピューターを用いてパスワードが解読された際には簡単に突破されてしまう可能性があります。
特に設定したパスワードの桁数が短い場合は解析ツールで簡単に特定され、数字のみの8桁であれば数分程度、アルファベットとの組み合わせであっても数日あれば解析されてしまいます。

脱PPAPが推奨される理由

先述した問題からPPAPの廃止が推奨されるようになり、各企業や政府でPPAP対策の動きが顕著になっています。
前章でも触れた「Emotet」と呼ばれるマルウェアの被害が2020年以降、国内外で相次いでいることから、各国で注意喚起がなされています。

Emotetは攻撃者が不正なメールに添付したファイルを、受信者がデバイス上で開くと感染するウイルスです。受信者はEmotetのメールだと気付かずファイルを開くと、メールアカウントとパスワード、アドレス帳などの個人情報が抜き取られてしまいます。その情報をもとに、攻撃者はマクロ付きのExcelファイルやZipファイルをメールに添付して、大量に送付する「ばらまき攻撃」を仕掛けます。このため社内の人間だけでなく、取引先や顧客を巻き込んでしまうのです。最悪の場合、感染元の企業は損害賠償請求や取引停止、ブランドイメージが失墜してしまうリスクがあります。
▼Emotet（エモテット）の特徴と感染時の対策を解説

Emotetの攻撃性は常に進化しており、組織としては感染を未然に防ぐ取り組みや姿勢が必要です。そのために政府機関や各企業は、セキュリティ面を最大限に考慮した代替のファイル共有方法を取り入れ、PPAPの廃止を進めています。
PPAPに限らず、「機密情報や個人情報を流出させない」「最新マルウェアに対策したセキュリティ」といったことに積極的に取り組むことは、「信頼」を獲得し、取引先企業として選ばれる「判断基準」のひとつにもなるのではないでしょうか。

関連の記事をご用意しております。ぜひご覧ください。
▼マルウェアの被害を防ぐには？対策方法と感染時の対処法を解説

PPAP対策に有効的な4つの方法

それでは、PPAPに代わるファイル共有方法を見ていきます。以下のような対策が挙げられます。

認証機能付きファイル転送サービスの利用
オンラインなどのストレージサービスの利用
Chatwork、slackなどのチャットツール上でのファイル送受信
メールの通信経路をS/MIMEで署名・暗号化してファイル送信する

1.認証機能付きファイル転送サービスの利用

ビジネス用のファイル転送サービスも複数存在しており、古くから多くの企業での利用実績があります。操作も容易なものが多いため、比較的ハードルの低いサービスで誰でも簡単に利用できるといえるでしょう。
ID・パスワードを設定し入力が必須となる「認証機能付き転送サービス」を使用すれば、さらなるセキュリティ強化を期待できるだけでなく、そのほか利用制限（ダウンロード制限回数指定、ファイル公開期限指定など）も基本的な機能として備わっているため、安心してファイルの送受信が可能です。また、送信ログの保管やデータの自動削除などセキュリティに配慮した機能が付いているサービスも多く、大きなサイズのファイルを送付する際にも活用できます。

サービスによって、「セキュリティ対策に強みがあるもの」「大容量送信・海外送信に強みがあるもの」「少人数でも安価で導入しやすいもの」など様々な特徴があるため、自社の環境に適したサービスを選ぶと良いでしょう。

2.オンラインなどのストレージサービスの利用

ファイル転送サービスと似たような仕組みに、「OneDrive」や「Box」といった「オンラインストレージ」の使用があります。
送受信したいデータのやりとりにオンラインストレージを使用した保存・共有の仕方は、非常に有効なセキュリティ対策だといえ、共有者の指定やフォルダへのアクセス権を管理などが可能なため、十分なセキュリティ強化を期待できます。
また、オンラインストレージのファイル共有には、他にも以下のようなメリットがあります。

1通のリンクを記載したメールの送受信で済む
送信ファイルの容量に基本的に制限なし
受信者との共同編集が可能
送信者・受信者どちらかのデバイス端末がウイルス感染しても、オンラインストレージにあるファイルは安全に保てる

メールを2通送る手間が省けたり、仮に送受信者のデバイス端末がウイルスに感染したとしても直接ファイルに影響がなかったり、オンラインストレージには様々なメリットがあるため、オンラインストレージを主流としている導入企業も多く存在しているようです。

3.Microsoft Teams、Chatwork、slackなどのチャットツール上でのファイル送受信

最近ではメール以外のビジネスコミュニケーションツールである「Microsoft Teams」「Chatwork」「slack」などでファイル送付が可能です。
これらのツールを使用すれば、ビジネスコミュニケーションツールのセキュリティ対策次第ではありますが、安全にファイル送付することができます。
ツール側でウイルスチェックをかけているものもあるため、対応策になるケースがあります。
また、チャットツールは閉じられたエリアでのファイル送付のため、相手も特定でき誤送信防止につながります。その他、送信後にメッセージの取り消しや送信ファイルの削除も行えるサービスも多いため、誤送信時のリスクも若干低減することが可能です。
テクバンのMicrosoft 365 Teams / SharePoint 運用管理サービスとは？

ただし、前提条件として自社、相手企業の両方でアカウントを持っている必要があったり、チャットツールの操作に慣れるまで時間を要す場合もあったりと、他の対策方法と比較してややハードルは上がる形になります。

4.メールの通信経路をS/MIMEで署名・暗号化してファイル送信する

メールには「S/MIME」という暗号化方式があり、メールのセキュリティを向上させます。電子証明書を用いてメールの「暗号化」とメールへ「電子署名」を行えるため、メールの盗聴やなりすましメールへの対策に有効です。
S/MIMEを導入するには、送信者・受信者の両方がS/MIMEに対応するメールソフトを使用している必要がありますが、マイクロソフト社のOutlookやアップル社のiPhone／iPadのメールソフトなど多くが対応しています。

さらに近年、なりすましメールによる被害が増えており、その手口は関連企業や自社の従業員を装って、会社の情報や資金の窃取などを行うというものです。一見すると、なりすまし・詐欺メールとは判別しづらく、だまされてしまう可能性が高いため、組織は何らかの対策が必要となります。
S/MIMEでは、このような詐欺への対応策としてメールに電子証明書を付与し、受信時に照合を行います。登録した電子証明書以外のメールは不審なものと見なしブロックするため、受信者は第三者からのメールを判別できたりメールの盗聴を防いだりすることが可能です。

また、メール誤送信対策サービスは各種ありますが、Sophos Email Securityは、マルウェアやフィッシング、なりすましメールから組織を守り、メール送信時の情報流出も徹底防御するクラウド型のメールセキュリティゲートウェイです。Microsoft 365、Google Workspace、Gmail など主要なビジネスメールプロバイダーと統合が容易な上、レポート機能により脅威を包括的に可視化します。
テクバンでは、Sophos Email Securityの導入など、PPAP対策をはじめ社内の包括的なセキュリティ対策に実績と自信を持っています。ぜひご相談ください。
テクバンに相談する

PPAP対策をそれぞれ比較

前章のPPAP対策をそれぞれ比較しました。各種のメリット・デメリットを見極め、最適な代替策の選択にお役立てください。

	認証機能付きファイル転送サービス	オンラインストレージサービス	チャットツールの使用	S/MIME方式で署名・暗号化
ファイル受信側の負担	負担なし	負担なし	負担なし	S/MIME対応メールソフトが必須
メール盗聴の恐れ	盗聴されてもファイルは安全	盗聴されてもファイルにはアクセスできない	－	暗号化により盗聴不可能
ウイルスチェックの可否	高度なセキュリティ対策を備えたサービスもある	高度なセキュリティ対策を備えたサービスもある	高度なセキュリティ対策を備えたツールもある	暗号化されたメールのウイルスチェックは不可能
誤送信の恐れ	メールの宛先は各個人で注意する必要がある	メールの宛先は各個人で注意する必要がある	チャットの宛先は各個人で注意する必要がある	メールの宛先は各個人で注意する必要がある
ファイル解析の恐れ	解析される恐れはなし	解析される恐れはなし	限られたエリアでのファイル共有なため有効	解析される恐れはなし

PPAPに代わる運用方法の検討を

PPAPの対応策として、様々なサービスやツールの活用が考えられますが、すでに多くのサービスを利用している組織では、新たなシステムを導入しづらいという側面もあるのではないでしょうか。
すでに導入しているシステムやサービスが脱PPAPに対応しているものであれば問題はありませんが、導入前からPPAPの廃止を前提に検討していなければ、脱PPAPの実現は難しいといえます。

しかし、Emotetのようなマルウェアが日々進化していく現状、早急な対策をとるべきであり、自社の環境や運用方法を見直すことが必要です。
普及率の高さからオンラインストレージサービスを使用している企業が多く見られますが、自社の環境に適合し、PPAPに代わる方法を運用できることが重要です。
PPAPを採用している組織の情シス担当者は、PPAPの問題点・リスクをしっかりと把握し、新たなサービス・システムの導入を検討しましょう。
それが近い将来、未然にウイルス被害や損失を防ぎ、結果的に会社の利益を生み出し、信頼性を高めることにつながるのです。