「重要ファイルなので、パスワード付きzipで送りますね」
ビジネスメールで、このようなやり取りを見かけたり、実際に運用している方は多いのではないでしょうか。
一見すると、きちんとセキュリティ対策を行っているように見えます。
しかし実は、この運用は近年「PPAP」と呼ばれ、むしろセキュリティ面でリスクがある方式として見直しが進んでいます。
今回は、
- PPAPとは何か
- なぜ問題視されているのか
- なぜ“セキュリティ対策をしているつもり”になりやすいのか
について解説します。
PPAPとは？
PPAPとは、以下の頭文字を組み合わせた、日本独自のファイル送信運用のことです。
- (P)assword付きzipファイルを送る
- (P)asswordを送る
- (A)ngoka（暗号化）
- (P)rotocol（プロトコル）
一般的には、以下のような流れで利用されています。
- パスワード付きzipファイルをメール送信
- 別メールでパスワードを送信
「添付ファイルをそのまま送るのは危険だから、暗号化して送ろう」
という考え方から広まり、多くの企業でスタンダードなルールとして採用されてきました。
実際、数年前まではこの手順が「セキュリティ対策として当然」と考えられていた時期もあります。
PPAPはなぜ問題視されるようになったのか
これほど普及したPPAPが、なぜ今になって 問題視されるようになったのか。
最大の理由は、
「セキュリティ対策として、本質的な意味がほとんどない」
からです。
安全そうに見える運用の裏側に隠された、4つのリスクを見ていきましょう。
① ファイルとパスワードを“同じ経路”で送っている
PPAPではファイルを送った後、パスワードを「別メール」で送ります。
しかし、どちらも「同じメールシステム」を使い、「同じネットワーク」を通って、「同じ宛先」へ届きます。
これでは、経路の途中でメールが盗聴されたり、相手のアカウントがハッキングされた場合、 zipファイルもパスワードも一網打尽に盗まれてしまいます。
「別メールだから安全」というのは思い込みで、実際は、“分けて送っているように見えるだけ”という状態に近いのです。
② 誤送信対策として機能しない
PPAPは「誤送信対策」として導入されているケースもあります。
しかし、実際の業務を思い返してみてください。
例えば、
- 宛先を間違えてzipファイルを送る
- その後パスワードも同じ宛先へ送る
というように、多くの場合は1通目を送った直後、反射的に2通目のパスワードメールを送ってしまっていないでしょうか。
もし宛先自体を間違えていれば、結局相手は簡単にファイルを開けます。
つまり、「誤送信時に相手が見られないようにする」という本来期待されている効果を、実際にはほとんど果たせていません。
③ ウイルススキャンソフトが中身を確認できない
PPAPにはもう一つ大きな問題があります。
それは、「zip内部をウイルススキャンソフトが確認できない」という点です。パスワード付きzipファイルは暗号化されているため、メールサーバやセキュリティソフトが中身をスキャンできません。
その結果、
- マルウェア
- 不正ファイル
- 悪意あるスクリプト
などが検知されずに通過してしまう可能性があります。
実際、過去に猛威を振るったマルウェア「Emotet（エモテット）」の拡散にも、このPPAPの仕組みが悪用されました。
良かれと思ってかけた鍵が、皮肉にも「ウイルスの隠れみの」になってしまうケースがあるのです。
④ “対策している感”が最大の問題
PPAPがここまで日本のビジネス界に広まった理由の一つに、「ちゃんと対策しているように見える」という “心理的な満足感” があります。
- ファイルをわざわざzipで暗号化している
- パスワードを別で送る手間をかけている
これだけの手順を踏むと、なんとなく業務を厳格にこなしている気分になります。しかし中身を紐解けば、
- 同じ経路を使っている
- 誤送信を防げない
- ウイルスチェックを回避してしまう
など、本質的なリスクは解決できていません。つまりPPAPは、
「本質的なセキュリティ対策」ではなく、「セキュリティ対策をやっているように見えるだけの運用」になってしまっていたと言えます。
では、どうすればよいのか？
現在では、メール添付ではなくクラウドストレージを利用したファイル共有が一般的です。
「OneDrive」「SharePoint」「Google ドライブ」などを活用し、ファイルをクラウド上に置いたまま、その「リンク（URL）」を相手に共有する方法です。
クラウド共有に切り替えることで、「送った後」も以下のように柔軟なコントロールが可能になります。
- 閲覧できる相手を特定のメールアドレスだけに制限する
- リンクに有効期限（○日間のみ閲覧可）を設定する
- アクセス権を削除して閲覧不可にする
ただし、ここで1点注意したいのがアクセス権の設定です。
いくらクラウドを使っても、「URLを知っている人は誰でも閲覧可能」
という設定のままリンクを送ってしまっては、PPAPと大差ありません。
必ず、「送信先の相手だけがアクセスできる」設定にすることが重要です。
※メールそのものが持つリスクについては、別記事「メールは“送った後”が危ない。見落とされがちな情報漏えいリスクとは」
でも詳しく解説しています。
「昔決めたルール」を見直すことも重要
2020年11月、当時の平井デジタル大臣が各省庁へPPAP廃止を指示したことをきっかけに、民間企業でも「脱PPAP」の動きが加速しました。
しかし現在でも、
- 取引先指定だから
- 昔からこの運用だから
- 社内ルールで決まっているから
という理由で、PPAP運用を続けている企業は少なくありません。
中には、自社ではより安全な送付方法を利用しているにもかかわらず、送付先の指定によりPPAPを使わざるを得ないケースもあります。
もちろん、ルールを決めて運用すること自体は重要です。
しかし、セキュリティ対策において本当に重要なのは、「一度決めたルールを守り続けること」ではなく、「今の環境やリスクに対して本当に有効かを見直し続けること」ではないでしょうか。
時代や働き方の変化すれば、かつては合理的だった対策が、今ではただの手間やリスクに変わってしまうこともあります。
「なぜこのルールが必要なのか？」を定期的に見直すことも、立派なセキュリティ対策の一環です。
最後に
ここまで読んで、「うちのやり方は本当に大丈夫だろうか」と少し気になった方もいるのではないでしょうか。
PPAPのように、「昔から続けているから」「対策している感があるから」という理由でそのままになっているものは、ほかにもあるかもしれません。やっかいなのは、こうしたリスクほど自分たちだけでは気づきにくい、という点です。
nolan合同会社では、中小企業向けにセキュリティ診断サービスをご用意しています。専門的な知識がなくても、今の運用にどんなリスクが潜んでいるのかを「見える化」するところから始められます。
まずは現状を整理したい、という段階でも構いません。気になることがあれば、お気軽にご相談ください。
