PPAPとは？問題点と代替案、選定時の比較ポイントまで解説

脱PPAPには様々な手段が提案されています。この記事では、代表的な代替案を整理した上で、脱PPAPを実現したユーザ企業に聞いた、PPAP代替案の選定ポイントと失敗しない選び方について解説します。

Microsoft 365 対応の脱PPAP 添付ファイル分離送信の作業負担がゼロに（事例）

なぜPPAPはダメなの？なぜやめられないの？― 素朴な疑問に答えます

PPAPとは

PPAPとは、情報のやり取りにおいて用いられてきたセキュリティ手法です。「Password付きZIPファイルを送る」「Passwordを送る」「暗号化」「Protocol」の頭文字をとった略語です。最初のメールでパスワード付きのZIPファイルを添付し、別のメールでパスワードを送るという2段階の送信方法をとります。

PPAPの危険性と問題点

PPAPには、いくつかのリスクがあります。以下で、5つの危険性と問題点について解説します。

メール内容が流出する恐れがある

PPAPを利用すると、メール内容が流出する恐れがあります。ファイルとパスワードを別々に送っていても、同じ通信経路を通るためです。第三者に傍受されると、添付ファイルの中身まで見られてしまう恐れがあります。

ZIPの暗号強度が脆弱である

ZIPの暗号強度が脆弱である点も、PPAPのリスクのひとつです。ZIPファイルの暗号化は強度が低く、短時間で解読される可能性があります。また、簡単なパスワードが使われることも多く、推測や解析によって突破されやすい点も問題のひとつです。

パスワードを盗聴される

PPAPでは、パスワードが別メールで送られても、同じ通信経路を通るため盗聴されるリスクがあります。途中のネットワーク機器で監視されていると、パスワードが第三者に読み取られてしまい、ファイルの安全性が確保できません。

送受信業務に手間がかかる

PPAPを利用すると、送受信の作業負担が増加します。暗号化したZIPファイルを送り、別のメールでパスワードを送るため、手続きが複雑になります。また、パスワードの管理やZIPファイルの解凍も必要になるため、送信者・受信者双方の負担が増え、業務の効率が下がりかねません。

ウイルスチェックが容易でない

PPAPのリスクのひとつに、ウイルスチェックがしにくい点があります。ZIPファイルは、解凍しない限り中身を確認できません。そのため、ウイルスが含まれていても見逃されやすく、開いたときにデバイスが感染する危険が高まります。

７割の組織が脱PPAP！PPAP廃止に向けた動きが加速

2020年に平井卓也デジタル改革担当相（当時）が、PPAPを廃止する方針を示したことにより、「脱PPAP」の気運は一気に拡がりました。​​民間企業でも廃止の波が拡がり、大手IT系の企業も禁止の方針を打ち出しています。

ウイルスやマルウェア対策を導入している場合、通常のZIPファイルは解凍されウイルススキャンを行います。しかし、パスワード付きZIPファイルは、ウイルスチェックを回避してしまう恐れがあるため、留意が必要です。

セキュリティ上のリスクがありつつ、暗号強度が高いわけではないため、PPAP廃止の流れが加速しています。取引先へ、パスワード付きZIPファイルをメールで送信したところ、ファイルを受け取れないといった問い合わせも発生しています。

関連記事：日本人はなぜ「マスク」と「PPAP」をやめられないのか：あなたは大丈夫？　電子メールのセキュリティ対策

PPAP廃止を進めるメリット

PPAP廃止を進めることで、セキュリティが大幅に強化されます。PPAPには複数のリスクがあるため、より安全なファイル送信方法に切り替えることが重要です。

また、ウイルス感染のリスクを減らせるため、自社だけでなく取引先の信頼も高まります。さらに、データとパスワードを別々に送る手間が省かれるため、業務の効率化が可能です。その結果、重要な業務に専念できる環境が整います。

PPAP代替案 –安全なメール送信方法

メールセキュリティサービス

メールセキュリティサービスは、送受信される全てのメールについてマルウェア対策、スパム対策、情報漏洩対策、誤送信防止、アーカイブなどの機能が提供されます。一部のサービスでは、脱PPAPを実現する機能が提供されています。

添付ファイル付きのメールを送信した場合に、メール本文と添付ファイルが自動で分離され、サーバ上に保存されたファイルのダウンロード用リンクが受信者に送信される仕組みです。

ファイルとメールを別経路で送信

ZIP暗号化ファイルの送信とパスワードの通知を電話やFAXなどのメールとは異なる経路で伝達することで、従来のPPAPに比べ第三者の通信傍受のリスクを避けられます。PPAPで受信を希望する送付先には有効な手段です。

記事：失敗しないPPAP代替案の選び方

ファイルにパスワードを設定

PDF、Wordドキュメント、Excelブック、PowerPointスライドなどの形式のファイルは、ファイルにパスワードを設定することで、暗号化できます。パスワードの伝達は、ファイル送信と別経路で行う必要があります。

S/MIME

メール自体を「S/MIME」（Secure / Multipurpose Internet Mail Extensions）で暗号化します。電子署名を用いることで送信者を証明できるため、なりすましや改ざんを防止できます。

PPAP代替案 – メール以外でファイルを送る方法

オンラインストレージ

オンラインストレージ（クラウドストレージ）にファイルをアップロードして共有します。パスワードの設定が不要でアクセス制限ができるため、共有可能な人や範囲を容易にコントロールできます。クラウド上でファイルの編集ができるサービスもあり、逐一共有する手間が発生しません。

ファイル転送サービス

ファイル転送サービスは、送信者がファイルをアップロードしダウンロード用URLを取得し、受信者にダウンロード用URLを通知するサービスです。受信者が通知されたURLにアクセスしダウンロードします。

ファイル共有サービス

ファイル共有サービスは、ファイルをサーバに保存し、アクセスしてもらうことで共有する仕組みです。ファイル転送サービスと似た特性を持ち、PPAPの代替策としても効果があります。ダウンロード回数や期限付きリンクの設定ができ、簡便に利用可能です。

ビジネスチャットツール

ビジネスチャットは、通信を暗号化しているため、送信されるファイルも自動的に暗号化されます。誤ってファイルを送信した場合でも後から削除することが可能です。

記憶媒体を物理輸送

送信するファイルを物理媒体に記録し、宅急便、バイク便、メール便といった物理的な輸送手段で輸送します。通信経路では、ファイルをデータ送信しないため、第三者の通信傍受のリスクを避けられます。

関連記事：脱PPAPとは？PPAPに潜む課題と廃止の背景や対策方法まで解説

脱PPAP済みのユーザに聞いたPPAP代替案の選定ポイント

サイバーソリューションズが、脱PPAP済みの企業にPPAP代替案の選定ポイントを伺ったところ、以下の3つのポイントで選定していることがわかりました。

1. 従来通りメールにファイル添付して脱PPAPできること
2. 送信先の要望にそった手段で送信できること
3. 自社のメールシステムに適合した脱PPAPであること

１.従来通りメールに添付してファイル送信できること

PPAPは、メール添付ファイル送信を暗号化して送信するために考案された方法です。日頃の業務でメールを送受信するユーザの立場では、PPAPでも脱PPAPでもメールにファイルを添付して送信できることが業務効率的に最も重要なポイントです。

２. 送信先の要望にそった手段で送信できること

脱PPAPは、送信者、受信者ともにスムーズにファイルを共有できることが不可欠です。送信者と受信者の都合によりファイルの送受信ができない状況が発生すると、メール送受信が負担となり業務効率の低下を招く恐れがあります。

３. 自社のメールシステムに適合した脱PPAPであること

メールシステムの管理者の視点では、現在利用しているメールシステムで脱PPAPを実現できることが不可欠です。メールシステムの移行を検討する場合も負担が少ない移行方法を検討しなければなりません。

導入事例：Microsoft 365 対応の脱PPAP 添付ファイル分離送信の作業負担がゼロに（株式会社ネットワールド様）

PPAP代替案のシステム要件

メールの添付ファイルで送信でも、相手の要望にそって脱PPAPするためにシステム選定でのチェックポイントを解説します。ファイルの分離送信、PPAP送信、通常送信、パスワード別経路送信などの複数の送信方法を、送信先ごとに細かく設定できるソリューションを選択してください。この要件を満たすソリューションを選択することで、ユーザに負担をかけずに脱PPAPを実現できます。

PPAP代替案のソリューション展開例

ユーザは、従来通りのメールにファイルを添付して送信するだけで、相手先に合わせた方法でメールを送信できる、ソリューションを選択してください。

メール環境別の脱PPAPソリューションとは？

現在、利用しているメールサーバごとに、脱PPAPを実現できるソリューションをご紹介します。

オンプレミスのメールサーバ

オンプレミスのメールサーバーで脱PPAPを実現するには、サイバーソリューションズが提供するMAILGATESがおすすめです。日本企業独自のセキュリティニーズに対応します。詳細は、MAILGATESの製品ページをご覧ください。

事例：約4,000アカウント、4カ月でオンプレからクラウドへコストスト増を伴わずにセキュリティ強化と可用性向上を実現

Microsoft 365

Microsoft 365 のメールセキュリティは、Exchange Online Protection（EOP）が提供します。しかし、EOPでは脱PPAPの機能を提供していません。サイバーソリューションズが提供する、Cloud Mail SECURITYSUITEは、脱PPAPの実現のみならず、Microsoft 365のメールセキュリティを強化します。詳細は、Cloud Mail SECURITYSUITEのMicorsoft 365 をご利用の方へをご覧ください。

事例：Microsoft 365 対応の脱PPAP 添付ファイル分離送信の作業負担がゼロに

ASPメールサービス（メールホスティングサービス）

ASPメールサービスの利用者には、月額利用料金が350円で利用できるCYBERMAIL Σと添付ファイル分離オプションが推奨されます。ASPのメールサービスでは、脱PPAPに対応しているメールサービスと連携できない場合があります。現状のメールサービスと比較してコスト面でも問題なく、従来と同等コストで脱PPAPの実現が可能です。

失敗しないPPAP代替案の検討ポイント

PPAP代替案を選定する際は、社内ユーザに負担をかけずに、自社メール環境に合わせた代替案を選択してください。送信先にも配慮した対応ができること、自社のメールシステムに適合しているソリューションを選ぶことが重要です。

脱PPAPが目的としながら、不必要なソリューションの導入によりコストや手間が増加すると、本来の目的を果たせません。脱PPAPの本質的な対応と業務効率や生産性に適合したソリューションを選定することが重要です。

脱PPAP関連のお役立ちガイドや資料のご紹介

• PPAP問題への対応とメールセキュリティの現実解 PPAPの名づけ親 大泰司章氏と対談！
• PPAPの3つの危険がやさしく分かる！ 脱PPAP!安全な送受信に代替する2ステップ
• 【脱PPAPの実態調査レポート】