今なお「パスワード付きZipファイル」が使われる理由とは？
メールの添付ファイルをZip形式で圧縮し、パスワードを付けて送信する「PPAP（ピーピーエーピー）」と呼ばれる運用方法。日本ではよく知られていますが、どうやら有効なセキュリティ対策とは言えないようです。昨年末、政府が脱PPAPの方針を表明（*1）しましたが、今なお多くの企業が使い続けているのが現状です。なぜ利用をやめられないのか？その理由とともに、PPAPに代わる新たなメールセキュリティのあり方について考えてみます。
どうして日本では「PPAP」なのか？
PPAPとは「P（パスワード付きZip暗号化ファイルを送ります）P（パスワードを送ります）A（暗号化）P（プロトコル）」の略語として、JIPDEC（日本情報経済社会推進協会）の大泰司 章氏が当時流行していた「ピコ太郎」の曲にちなんで名付けたものです。データ圧縮形式として広く使われているZipは簡単な操作でファイルにパスワードを付けられることから、PPAPは手軽なメールセキュリティ対策として多くの企業・組織で導入されてきました。
しかし、生成したパスワードをどうやって伝えるかという部分で、PPAPには大きな欠点があります。本来なら、あらかじめ双方で決めた特定の文字列などを事前に共有したり、安全な方法で相手方に知らせたりするのが原則なのですが、PPAPは「添付ファイルを送った後にパスワードを別メールで送り、それを使って解除する」という仕組みです。つまり、受信者あてのメールを読むことができる環境にあれば誰でもパスワード解除は簡単で、これではセキュリティ効果が望めません。また、暗号化された添付ファイルにマルウェアが含まれている場合、メールサーバーでウイルスチェックをくぐり抜ける可能性が高くなります。さらに、相手方はメールを受信するたびに別便で届くパスワードを入力する手間がかかるため、ユーザーは「これに意味があるの？」と感じながらも使うという状況でした。
では、このように問題点の多いPPAPがなぜ広く普及し、いまだに使われ続けているのでしょうか？その理由はセキュリティ意識にあるようです。添付ファイルにパスワードを付け、別途メールでパスワードを知らせることで「うちはセキュリティ対策をしています」という姿勢を示すということなのですが、残念ながらPPAPは有効な対策とは言えません。ただ、それに代わる手段が見つけにくかったこと、さらに日本では個人情報保護の観点からプライバシーマーク（Pマーク）付与の取り組みが行われており、その中で「添付ファイル暗号化が有効」とされていたことから一気に導入が進んだと思われます。
PPAP代替策として注目を浴びるクラウド
問題が多いと指摘されながら、現在も使われ続けるPPAP。この状況を変えるべく、さまざまな動きが加速しつつあります。最近では政府がPPAP廃止の意向を表明しましたが、これは今後添付ファイル付きメールを使わないということではなく、あくまでPPAPという手順を踏まないという方針を示したものです。
PPAP以外で添付ファイルの安全性を高める方法としては、以下のようなものがあります。
- パスワードの扱い方を変更：PPAPのように直後に同一経路であるメールで送らず、手渡し・郵送・チャット・電話といった別経路でパスワードを相手方に知らせる。
- セキュリティ対策の見直し：パスワード付きZipファイルに代えて、高度な暗号化（S/MIME、PKIなど）、電子署名（ドキュサインなど）を導入して、より安全な環境を整備する。
- メールを使わない：ファイルの送受信にメールを使わず、セキュリティ対策されたSNSやBox、Google Driveなどのクラウドストレージを使用する。
これらの方法はいずれもPPAPが抱える弱点をカバーするものですが、一方で送信者側に何らかの手間（アプリの使い分け、パスワード伝達の手順など）がかかることも否めません。PPAPが普及した背景には「手間がかからず簡単」という理由があり、結局「（不安だけど）まあいいか」という判断につながっていることも多いようです。また、社内のセキュリティ強化に取り組んでいる企業も、社外とのやり取りでは依然としてメールが主流のため、メール以外の方法へ舵を切ることに躊躇する声も聞かれます。このような状況を踏まえ、最近ではクラウド技術を活用して、メール同様の使い勝手と安全性向上を謳ったソリューションが提供されています。
おすすめ記事：今さら聞けない「クラウドって何？」
脱PPAPに向けて、今からできること
これまで何年もPPAPを「当然」という感覚で使ってきた方は、いきなり「別の方法を考えるように」と言われても困ってしまうかもしれません。そこで、無理なく「脱PPAP」を可能にする方法をいくつかご紹介します。
まず、添付ファイルの扱い方については、メールにファイルそのものを添付するのではなく、いったんクラウドストレージにアップロードしてから受信者にダウンロードしてもらう方法があります。現在は、非常に多くのクラウドストレージサービスが存在していますが、ログの記録やパスワードの設定、ダウンロード回数・期間の制限など、機能もさまざまなので、導入にあたってそれぞれのサービスの特長を比較してみるとよいでしょう。
また、合意書、契約書など相手方の承認が必要な文書は、ドキュサインのような電子署名サービスを利用すれば、文書の送受信から保管に至るまで全てのやりとりはクラウド上で行うことができます。文書を印刷して署名・捺印し、スキャンする、といった手間もかかりません。
なお、ひとまずPPAPからの脱却をめざす対応として、例えばパスワード自動送信機能を停止して手作業で送るといった例も見られますが、これらはPPAPの本質的な問題解決にはつながらないため、メールセキュリティ全般の見直しが必要になっています。
おすすめ記事：巧妙化するサイバー攻撃。最近多い手口とは？
まとめ
さて、PPAPが受信者に嫌われる理由としてもう一つ挙げられるのが、「いちいちパスワードを入力するのが面倒」というものです。これは、パスワードを使う以上避けられない問題なのですが、コミュニケーションで一方にだけ負担を強いる状況が理想とは言えません。業務効率化を図るためにもクラウドストレージや電子署名など、パスワード以外のセキュリティ対策を検討することも必要です。
今回はメール添付ファイルのセキュリティについて記しましたが、メールの利用に際しては「誤送信」「なりすまし」といった危険も常に認識すべきです。PPAPを単に「意味がない風習」として片付けるのではなく、安全なメールコミュニケーションをめざす中での取り組みの一つと捉え、より有効な対策を講じていくべきでしょう。
電子署名を無料で試す →
参考資料：
- ※1 ITmedia News 2020年11月24日 パスワード付きzip、内閣府と内閣官房で26日から廃止へ 外部ストレージサービス活用 平井デジタル相