セキュリティ対策の観点からPPAPは意味がないとされ、さまざまな企業で脱PPAPの動きを見せています。
PPAP廃止の背景には、デジタル改革担当大臣の平井卓也氏が2020年11月24日の定例会見でPPAPについて「セキュリティ対策の観点や、受け取る側の利便性から考えても適切な方法ではない」と語り、内閣府・内閣官房でPPAPの習慣の廃止を決めたことがあります。
PPAPがセキュリティ対策として意味がない理由やPPAPの代替案を考えていきましょう。
セキュリティにおけるPPAPとはなにか？
そもそもPPAPとは、暗号化したファイル（パスワード付きzipファイル）をメールに添付し送り、zipファイルの解除パスワードをあとから別のメールで送るという手法につけられた名称です。
PPAPは以下の言葉の頭文字をとって、名付けられました。
- 「P」Password付きzipファイルを送信する
- 「P」Passwordを同じ経路であらためて送る
- 「A」Angoka（暗号化する）
- 「P」Protocol（その手順）
PPAPが広く普及した背景として有力なのが、プライバシーマーク制度によるものだと考えられています。
個人情報保護法が施行された2005年から、企業における個人情報保護の動きが重大な問題となり、企業としての信用や信頼を証明できる方法として、一般財団法人 日本情報経済社会推進協会（JIPDEC）によるプライバシーマーク取得の動きが強まりました。
プライバシーマーク取得に企業が動きはじめた際に、プライバシーマーク取得のコンサルタントが増え、その際「ファイルを暗号化しパスワードをつければセキュリティ対策になる」という、今で考えればセキュリティ対策として認識の甘い方法でのコンサルタント業務が広まったのです。
プライバシーマーク取得の動きから、間違った情報でコンサルタント業務をおこなう業者が増えた結果、PPAPという不完全なセキュリティ対策が定着したと言われています。
また、国民が意見を寄せられる「デジタル改革アイデアBOX」でPPAPのセキュリティ対策についての投票が1位だった流れを受け、2020年に内閣府・内閣官房がPPAP運用を検討します。
しかし、結果としてはPPAPはセキュリティの観点で意味がない、利便性からも適切ではないとの声明が発表され、政府はPPAP方式でのファイル共有を廃止する運びとなりました。
政府のPPAPの運用廃止を受けて、PPAPは意味がないという認識が日本企業全体へと広まってきたと言えるでしょう。
PPAPがセキュリティ対策として意味がない理由
なぜPPAPはセキュリティ対策として意味がないのでしょうか。
セキュリティ面でPPAPが意味がない理由を、詳しく説明していきましょう。
誤送信が起こったら情報漏えいのリスクがある
PPAPは誤送信などのヒューマンエラーが起これば、セキュリティ対策としてまったく意味がないと言えます。
PPAP方式でファイルを送ってセキュリティ対策をしたつもりでも、誤送信によってファイルに関わるすべての情報を他者に開示してしまう可能性があるためです。
セキュリティ対策がメール送信者の注意だけに依存している状態や、誤送信の際の情報漏えいリスクが高いことは、PPAPが意味ないと言われる大きな理由といえるでしょう。
ウイルス感染で通信経路から情報抜き取りの可能性がある
PCなどの機器を使用するうえで考えなければならないリスクとして、ウイルス感染があり、ウイルス感染が起こった場合には、メールの送受信情報がすべて抜き取られる危険が考えられます。
続けて関連情報を送信するPPAPの方法では、パスワード付きzipファイル自体とパスワードがわかりやすい状態で流出する結果になりかねません。
PPAPはいわば、玄関の鍵を誰でも開けられるポストに入れておくような軽率な状態です。
ウイルス感染によってメールの情報が抜き取られたら、簡単にファイルを開けることができてしまうので意味がないのです。
ウイルスチェックを通過してしまう
ウイルス対策のソフトやクラウドメールサービスのウイルスチェックは、通常zipファイルの中身もウイルスチェックできるものが多くなっています。
しかし、zipファイルにパスワードがかかっていると、ファイル内のウイルスチェックができなくなるとされているのです。
ウイルスチェックができないことは、ウイルスを持ち込む可能性が高まり、情報漏えいを含む重大なリスクに晒される危険性も高まります。
PPAP方式であるとウイルスチェックを通過してしまう事実は、セキュリティ対策として意味がない大きな理由だと言えるでしょう。
そもそもzipパスワード自体が脆弱である
デジタルやITシステムの能力向上から、フリーソフトとして手に入る専用ツールで、zipパスワードの解析が可能なものがあるとされています。
また、zipファイルはパスワードを付けてもファイル名がそのままであったり、zipファイルをダブルクリックすると中身の構造を確認できる場合もあるため、パスワードが解析できなかったとしてもファイルを推測できる欠点があります。
これらの事実は、パスワード付きzipファイルの暗号化はセキュリティ対策として不完全で脆弱であると言え、PPAPが意味ないとされる結果につながるのです。
個人情報の盗聴被害にあったら簡単にファイルの閲覧を許す
急速に普及したフリーWi-Fiですが、場合によっては悪意のある人間に盗聴されている可能性があります。
また、街中では偽のアクセスポイントで個人情報を集めているなどの悪質な行為も考えられます。
PPAPの方式でファイルの共有をおこなっていると、同じメールフォルダ内でファイル閲覧に必要な情報の確認が可能です。
情報の盗聴などの被害にあった際には、簡単に情報の閲覧を許す結果になりかねないと言えるでしょう。
PPAPは意味がないので別のファイル共有方法が必要
PPAPはセキュリティ対策として意味がないので、別のファイル共有方法を考える必要があります。
セキュリティ対策の観点から、PPAPに代わるより安全性の高いファイル共有方法を考えていきましょう。
USBメモリを使用する
USBメモリ内のファイルにパスワードをつけ渡し、パスワードのみをメールやチャットツールで共有するなど、別経路での情報共有が可能です。
そのため、PPAPのように同じ経路から簡単に情報が漏れてしまうような結果になりづらいと考えられます。
しかし、USBメモリ自体を紛失した場合に、万が一パスワードの解析ができる他者の手に渡れば情報漏えいの危険性もあり、そもそもUSBメモリの渡し間違えやわざわざ手渡しが必要なため非効率的だと言えます。
USB自体がウイルス感染している場合もあるなどセキュリティ・業務効率化の観点から最適であるとは言いがたいですが、PPAP以外のひとつの選択肢としてUSBメモリという方法があるでしょう。
社内ローカルフォルダを使用する
社内ローカルフォルダは社内のネットワークのみの使用になるため、外部の人間に情報漏えいする危険が極めて低いと考えられます。
しかし、外出先だと使えない点や、社外の人間との情報共有には利用できません。
また、ローカルネットワークに障害が起こった場合にはすべての情報が破損する可能性も考えられます。
社内ローカルフォルダは破損などの危険性が拭いきれないのと社外の人間とは利用はできない不便さがはありますが、PPAPに比べファイル共有時の情報漏えいリスクは低いと言えるでしょう。
ファイル転送サービスを使用する
ファイル転送サービスは、サービス内にファイルをアップロードし、ダウンロード用のURLを相手に教えることでファイルの共有ができるサービスです。
無料版や有料版で各社からサービスが展開されており、法人向けの有料サービスなどでは、送りたい相手に自動的にURLが送信される仕組みができているサービスもあります。
そのため、PPAPで懸念された誤送信などをしにくいシステムが構築されているのです。
有料版では上記のほかにさまざまなセキュリティ対策も施されていますが、無料版のサービス内容ではセキュリティ対策不足が否めません。
ダウンロードしたファイルの保管方法を検討する必要はありますが、セキュリティ対策が施されているファイル転送サービスは、PPAP代替案として有効な方法であると言えるでしょう。
オンラインストレージを使用する
オンラインストレージはクラウドサービスの一種で、インターネット上でファイル管理ができるシステムです。
オンラインストレージ上にファイルをアップロードし定期的なバックアップ機能があることで、ハードウェアやマルチウェアの障害などでデータが消失するリスクに備えられます。
また、システム利用時のパスワードや端末認証に加え、アカウントごとの利用制限や、他社へのファイル共有もURLでおこなえる機能が備わっているため、情報漏えいの心配も限りなく低くなるのです。
オンラインストレージはPPAPに変わるファイル共有の方法として、安心できるサービスであると言えるでしょう。
PPAPは意味がないと理解し適切なファイル共有方法を選択しよう
PPAPはzipファイルの脆弱性やヒューマンエラー、情報漏えいの可能性からもセキュリティ対策としてPPAPは意味のない方法です。
普及の背景にあるとされるプライバシーマーク取得管轄団体のJIPDECも、PPAP廃止における政府の公式会見を受け「メール添付のファイル送信について」中で、「プライバシーマーク制度ではメール誤送信などの観点から、PPAPの方法でのファイル送信では個人情報の漏洩を防げないと考え、従来から推奨していません」と、声明を発表しています。
PPAPの代替案の中でもオンラインストレージは、PPAPで懸念されるセキュリティ対策が施されているサービスが多く、リスクに備えることが可能です。
オンラインストレージの「セキュアSAMBA」は、アクセス経路やファイルがすべて暗号化され、アクセスログの取得も可能となっており、端末認証などの厳重なセキュリティの上でファイル共有ができます。
PPAPでのファイル共有に代わり、安心してご利用いただけるオンラインストレージ「セキュアSAMBA」の導入を是非ご検討ください。
