これまで政府も実践し、それに倣って多くの企業で取り入れられていたメールによるファイル共有のセキュリティ対策がPPAPです。ですが、今多くの公的機関や企業でPPAPの廃止が進んでいます。なぜ廃止されることになったのでしょうか。さらに、PPAPに代わる今後のファイル共有とそのセキュリティ対策には何が求められるのかについても、あわせて解説します。
PPAPとは
「PPAP」とは、2011年頃から政府や日本の多くの企業で実践されてきた、ファイル共有を目的にeメールで送受信する際のセキュリティ対策を揶揄した略語です。その対策の手順は、ファイルをZip形式で圧縮し、暗号化してパスワードをかけたうえでメールに添付、送信し、それとは別のメールでパスワードを送信するというものです。悪意のある第三者による閲覧を防止する考え方に基づいています。
しかし実は、この対策は期待されるほどセキュリティ対策としての効果は得られないことが指摘されました。今では、添付メールを運用していることがランサムウェアの標的になりやすいと、逆にセキュリティリスクになってしまっているといった問題も指摘されています。セキュリティ対策としては問題が多いことを周知させるために、情報技術の専門家が当時流行っていたことを引用し、「PPAP」と呼んで揶揄したのです。PPAPは、この対策を端的に説明する以下の言葉の頭文字をとったものです。
「P」assword付きZip暗号化ファイルを送ります
「P」asswordを送ります
「A」ん号化（暗号化）します
「P」rotocol（プロトコル＝手順）
やや強引な部分はありますが、一世を風靡したPPAPの認知に乗った、言い得て妙なこの呼び名が広く定着しています。当然ですが、海外でPPAPといっても通じません。また海外では、パスワード別送をする、パスワード付きZipファイルによるファイル共有は手段としてとられていないようです。
省庁や大企業でPPAP廃止が加速
2020年11月24日に平井デジタル改革担当大臣（当時）が記者会見を行い、内閣府の全職員に対し、外部へのファイル送信時にPPAP方式を行わないことを通知すると発表しました。理由は、セキュリティ対策として不十分である点や、受け取り側の利便性の観点から適切ではないというもので、政府の意見募集サイト「デジタル改革アイデアボックス」に寄せられた多数の意見が反映された形となりました。
もともと中央省庁間でのファイルのやり取りには、政府内専用のネットワーク「政府共通ネットワーク」が使われており、政府は外部とのやり取りでPPAP方式をとっていました。そのため、多くの企業がPPAPによるファイル共有を採用し、マニュアル化しているケースも少なくありませんでした。
内閣府のPPAP廃止発表は、民間企業の動向にも影響を与えました。発表後、PPAPに代わるセキュリティ対策については、クラウドストレージの利用などが官民共に検討、実装が進んでいます。中でも日本郵政の例は参考になるかもしれません。また、政府では引き続き「デジタル改革アイデアボックス」への意見投稿も呼びかけています。
その他、文部科学省でも、2022年1月4日以降のすべてのメール送受信において、メール添付を廃止し、コンテンツクラウド「Box」を用いる仕組みを導入しています。これは、相手に送りたいファイルをBoxに保存してURLを共有し、受信した相手はそこからファイルをダウンロードするというものです。行政機関のPPAP廃止の動きは中央省庁だけでなく、北海道庁など地方自治体にも波及しています。
関連内容はこちら
さらに、大手企業でもセキュリティ強化の観点から、PPAP廃止へ舵を切っているところが見られます。日立グループではPPAPの完全廃止を宣言し、パスワード付きZipファイル付きのメールはグループ内で送受信しない、という厳しい処置を講じることを決定しました。取引先にも影響があることを考えると、これはかなり大きな決断でしょう。ほかにも、多くの企業が原則PPAPを廃止する旨を決定・公表し、ファイル共有のあり方が明らかに変わってきています。
PPAPの問題点
PPAPの問題点は、以前から多くのITの専門家より指摘されており、内閣府の決断によって広く認識されるようになりました。政府の動きに従って、今後PPAPの廃止を検討する企業はますます増えるでしょう。ただし、安易に廃止して、そのあと有効なセキュリティ対策が取れなくなることは避けなければなりません。PPAPの何が問題なのかを正しく理解し、どうその問題を解決すればよいのかを十分に検討してから、自社の方針を決定しましょう。
理解を深めるためにPPAPの代表的な問題点を復習しましょう。
- メール盗聴と情報漏えい
- ウイルスチェック
- 業務効率
1.メールの盗聴リスクと情報漏えいリスクがある
PPAPの手順では、パスワードを付けた（暗号化した）Zipファイルを送る前後に、「先ほどお送りした（これからお送りする）ファイルのパスワードは*****です」という別メールを相手に送ります。
しかし、電子メールは送信者から受信者に届くまでに、いくつかの組織のメール転送エージェントを介し、その間の通信で暗号化されるとは限りません。つまり、その過程で攻撃者に盗聴されるリスクがあるのです。しかも、前後して同じメールの経路で送られてくるパスワードも、同時に攻撃者の手に渡る可能性が極めて高いのです。そのため、悪意ある第三者がメール内容を窃取した場合、高確率でパスワードも窃取されてしまいます。その場合、容易に復号できるため情報漏えいにつながります。
PPAPがセキュリティ上安全であるためには、パソコンから送信元メールサーバー、送信先メールサーバーなど、すべての経路の暗号化がされている必要があります。とはいえ、いくらパスワードを強化しても、パスワードそのものが窃取されては意味がないのは言うまでもありません。
なお、Zipに付けるパスワード自体も、一般的なツールを用いて短時間で解析できる程度の強度でしかないことが指摘されています。容易に解析されない安全性を保つためには、おおむね10桁以上で英数字、記号を駆使した複雑なパスワード設定が必要となります。
2.ウイルスチェックができない
送受信するファイルに対してのセキュリティも問題ですが、もっと深刻なのが、パスワード付きZipファイルはウイルスチェックができない場合があるという点です。今やセキュリティ対策ソフトの導入は企業として当たり前になっていますが、通常のセキュリティ対策ソフトでは、パスワード付きのZipファイルに対してウイルスチェックが働かないことが多いのです。
さらに、近年爆発に増えているランサムウェア等のマルウェアは、Zipファイル添付を行っている企業を狙っていると言われています。パスワード付きZipファイルがセキュリティソフトのチェックをすり抜けて届き、受信者がそのファイルを解凍する際に感染してしまう「Emotet」というマルウェアも、世界規模で拡大しています。PPAPは、単にそれ自体で情報漏えいリスクがあるだけでなく、マルウェア感染のリスクとマルウェアによる情報漏えいや被害の温床ともなるのです。
3.受信者側の業務効率が低下してしまう
前述のセキュリティリスクの温床ともなりかねないPPAPを受け取る側も対策し始めています。具体的には、パスワード付きZipファイルをブロックする企業が増えてきているのです。こうした理由から、今後パスワード付きZipファイルは相手に届かず、はじかれてしまい、情報共有やコラボレーションが進まず生産性低下につながるリスクが考えられます。
より直接的なこととしては、PPAPはパスワード付きZipファイルとパスワードが分離するため、ファイルを受信した側の作業負担が大きく、効率低下につながる点も指摘されています。ファイルを開くたびに毎回パスワードを入れなければならず、パスワード付きのZipファイルを受信した際に、ファイルごとにセットとなっているパスワードを管理しなければなりません。ファイルという業務コンテンツは、何日にもわたって使うことも多く、泣き別れとなった2つを管理することは非常に手間がかかります。コンテンツを更新するたびに頻繁にやり取りをする場合、相手にとってもその負担は軽いものではないでしょう。
取引先ごとに一定期間、同じパスワードをかけることも可能ではありますが、ファイルを開くたびに生じるパスワード入力の手間までは減らせません。さらに、モバイルデバイスでZipファイルを開けないことも大きく指摘されています。多様な働き方のひとつ「どんなデバイスでも」からも乖離する方式と言えます。
PPAPの代替方法や問題への対応策
PPAPの問題点がいずれも深刻であることがわかっても、代替方法を確立しないうちに廃止してしまうのは危険です。PPAPの問題点を回避し、利点を保持するためには、具体的にどのような方法が有効なのでしょうか。
既存PPAPの安全性向上を図る
最適な代替案が見つからない場合や、取引先がPPAPを利用しているなどの理由から、すぐにはPPAP廃止ができない企業もあることが実践される中でわかってきました。もはやPPAPは推奨される方法ではありませんが、そのような場合はできるだけセキュリティを強化して、少しでも安全性の向上を図ることが重要です。
すぐにできる対策としては、メール本文とパスワードの送信経路を別にする方法があります。添付ファイル付きのメールを送信したあと、パスワードは近年よく使われるようになったビジネスチャットや、レガシーですが電話やFAXなどで伝えることで、パスワードの窃取リスクを軽減できます。
社内のITリテラシーを高める
東京商工リサーチの調査によると、2021年における大企業およびその子会社で発生した情報漏えい・紛失事故のうち、「誤表示・誤送信(31.3％)」「紛失・誤廃棄(11.6％)」などのヒューマンエラーを原因とする事故が、首位の「ウイルス感染・不正アクセス(49.6％)」に次いで上位にランクインしています。これは暗に、重要データを取り扱う人員のITリテラシーの低さを物語っています。
（参照元：https://www.tsr-net.co.jp/news/analysis/20210117_01.html）
これらはどれも人的要因が原因で起こるものであるため、セキュリティに対する正しい知識と意識を持ち、適切な対応を取ることで防止できます。そのため、社内でのセキュリティポリシー周知や定期的なセキュリティ研修を行うことが対策につながります。通信経路を違うものにすることは手間がかかります。しかし、情報漏えい事故は企業の信用にもつながるため、即座に廃止できないのであれば、社員ひとりひとりの意識をあげる必要があるのです。
S/MIMEでファイル送信を行う
ファイルの送受信にどうしてもメールを使いたい場合は、S/MIME（Secure / Multipurpose Internet Mail Extensions）のような、電子メール通信のセキュリティを上げる暗号化方式を活用するのがおすすめです。S/MIMEでは電子証明書を用いるため、メールを暗号化して盗聴を防ぐだけでなく、メールに電子署名することで送信者のなりすましやメール改ざんなども防止します。
S/MIMEを活用すれば、電子メールだけで安全にファイルを送受信できるメリットがあります。しかし、送る側と受信する側の双方がこの方式に対応できるよう、運用の準備をしておかなくてはならない点には要注意です。
クラウドストレージでファイル共有する
直接メールでファイルを添付してやり取りするのでなく、送受信したいコンテンツをクラウドサービスの一つコンテンツクラウドに保存し、受信者とセキュアな共有リンクやコラボレーターとして招待することで共有する方法も非常に有効です。クラウドストレージをベースとして、フォルダへのアクセスをコントロールすれば簡単で有効なセキュリティ対策となります。共有する人やダウンロード不可といった操作も選ぶことが可能です。
ファイルをやり取りする際のメールも、ファイルの置き場所(リンク)を知らせる1回だけで済むので効率がよく、多くのメリットがあります。そのうえ、メールは送信できる容量に限度がありますが、クラウドストレージでは実ファイルは送らないため、共有リンクを含んだメッセージサイズのみで最小化されます。
また、コンテンツクラウド「Box」であれば受信者がそれぞれのデバイスにダウンロードしなくても、プレビューで確認したり、Microsoft365やGoogle Workspaceで同時編集したりすることも可能です。さらに、万一どちらかのハードディスクがクラッシュしたり、ウイルスに感染したりした際も、ファイルはクラウド上で安全に保持されます。もちろん、モバイルデバイスからのアクセスもでき、多様な働き方促進を阻害しません。誤送信の際はリンクを無効にすることで事故を防ぐことが可能です。
PPAPの代替方法としてはコンテンツクラウドの導入がおすすめ
PPAP廃止の手段はいくつかありますが、導入が容易で安全性も高い点から、優良な代替方法として期待されているのがコンテンツクラウドです。クラウドストレージの機能はもちろん、業務に欠かせないファイルを使うための様々な機能が提供されています。例えば、外部とのファイル受け渡しだけでなく、DX時代の新しいファイルサーバーとして、また社内外の業務関係者間でのファイル共有やコラボレーションなど、多様な用途で利用可能なことも導入を後押しする一因となっています。
コンテンツクラウドを選定する際には、自社の運用目的に合わせて容量や使い勝手を考慮することや、アクセス制限やウイルススキャンなど、PPAPの代替方法として役目を果たしうる機能が備わっていることが選定ポイントになります。さらに、メールだけでなく、他の業務に必要なクラウドサービスやオンプレミスのシステムと連携できるサービスを選ぶと、より業務効率の向上につながります。例えば、Microsoft Teamsをコミュニケーションのツールとして使っているのであれば、Teamsからファイルを直接読み出せる、保存できるといったことです。
まとめ
近年、一部の企業や業界ではビジネスにおけるファイル送受信の常識のように行われてきたPPAPは、昨今セキュリティリスクが指摘され、多くの専門家から廃止を求められています。内閣府の決定を契機に、すでに省庁や大企業を中心としてPPAP廃止の動きが拡大、実践されおり、今後数年の間に中小企業まで含めた多くの企業が、同様の対策を行う必要に迫られるでしょう。
PPAPの代替策として、クラウドストレージ機能を持つコンテンツクラウドはとても有効です。例えば、Boxはマルウェア対策や暗号化がなされており、ファイルを安全に保管し、共有するのに最適でしょう。
これをよい機会ととらえ、PPAP廃止を単なるセキュリティ対策ではなく、ファイル共有、つまりコラボレーションの効率化とセキュリティ対策の両方と意識して、自社のDXや生産性への対策として検討してみてはいかがでしょうか。
