PPAPとは？問題視される理由と廃止の動き、効果的な対策方法を徹底解説

プライバシーマークの流行

2005年の個人情報保護法の全面施行が大きな転換点となりました。

企業は顧客や取引先からの信用獲得を目的として、プライバシーマーク取得に注力するようになったのです。

しかし、急激に拡大した市場に知識不足のコンサルタントが参入し、不適切なアドバイスを企業に与える事例が相次ぎました。

当時のコンサルタント規定では機密レベルの分類が曖昧で、「メール以外でパスワードを伝える」という重要な要件も明記されていません。

結果として、「暗号化ZIPファイルの送信のみで十分」という誤解が企業間に浸透し、PPAPが個人情報保護の万能策として認識されてしまったのです。

ガイドライン認識の誤解

総務省のガイドラインに対する企業側の解釈に大きな問題がありました。

「地方公共団体における情報セキュリティポリシーに関するガイドライン」では、機密性の高い情報の暗号化とメール以外でのパスワード伝達が規定されています。

ところが、多くの企業担当者がこの重要な要件を見落としていました。

ガイドラインがPPAP自体を明確に否定していなかったこともあり、「公的に推奨された手法」との誤った認識が広がりました。

作業の容易さ

作業の手軽さもPPAP普及の決定的要因の1つです。特別なシステムの導入が不要で、既存のメール環境だけで実施できる手軽さが企業に歓迎されたのです。

ZIPファイル暗号化の自動化ソフトウェアも登場し、送信者の負担はさらに軽減されました。

専門知識がない担当者でも「セキュリティ対策を実施した」という安心感を得られるため、心理的なハードルも低かったといえます。

後にPPAPの問題点が指摘されても、この作業の簡便性から脱却が困難な企業が多く残されました。

メールの内容が漏洩する可能性がある

PPAPでは、1通目のメールで暗号化されたZIPファイルを送り、2通目でパスワードを送るという方法を取ります。しかし、この方法では結果的に同じ経路を使用することになるため、安全性が高いとはいえず、場合によってはメールの内容が漏洩する可能性があるのです。

例えば、もしも第三者に1通目のメールを盗み見された場合、同じサーバー内に送られた2通目のメールを見ることは難しくありません。また、2通とも誤った相手にメールを送ってしまい、内容を知られてしまうといったリスクも存在します。

つまり、PPAPは一見高いセキュリティ対策が施されているように思えますが、第三者からすればZIPファイルとパスワードを同時に知ることは容易であることから、メールの内容が完全に保護されているとはいえません。

ZIPの暗号強度が脆弱である

ZIPの暗号強度は必ずしも高いとはいえず、悪意のある第三者に短時間で解読される危険性があります。暗号化方式には、主に以下の2種類が存在します。

AES-256は、アメリカで2001年に標準暗号として定められた暗号化方式であり、暗号鍵長が長く、安全性が高いと評価されています。一方で、ZipCryptoは計算能力を応用するためのシステム開発が進んでいることもあり、単純なパスワードだと短時間で突破される可能性があります。

その上、ZIPファイルの暗号解読は何度でも入力できるため、時間をかければいずれはパスワードを突破できてしまうのです。

ウイルスチェックが難しい

通常、ウイルス対策ツールを導入していれば、自動でメールのウイルスチェックが実施されます。パスワード付きのZIPファイルも同様に、このウイルスチェックにより安全性が保たれているように思えます。

しかし、パスワード付きのZIPファイルは内容を開かないとウイルスチェックができません。そのため、もしもファイルの中にウイルスが潜んでいた場合、ウイルスチェックをすり抜け、そのままデバイスに感染する危険性があります。

中にはZIPファイルの中身を確認してくれるウイルス対策ツールもありますが、これでも100％安全とはいい切れません。PPAPを採用する場合は、ウイルスやマルウェアの感染リスクがあることを覚えておきましょう。

マルウェアとウイルスの違いについては以下の記事で解説しています。

【関連記事】マルウェアとウィルスの違いとは？関係性や感染時の見分け方、感染時の対策を解説

送信側・受信側の業務負担が大きい

4つ目の理由は、送信側と受信側の業務負担が大きいという点です。送信側は、まず情報をZIPファイルにまとめ、それをパスワードで暗号化してメールを送信します。その後、別のメールでパスワードを送信するという一連の作業が必要です。

受信側もまた、2つのメールを受け取り、それぞれに含まれる情報を使用してZIPファイルを解読するという手間が求められます。場合によっては、2通目のメールが他のメールに埋もれてしまい、メールボックスの中から探す手間が発生します。

このように、PPAPは送信側と受信側の両方に負担を強いるため、効率を重視する現代の働き方に適しているとはいえません。

大泰司章氏がPPAPを問題視

PPAPの命名者である大泰司章氏自身による問題提起が転機となりました。

同氏は日本情報経済社会推進協会に所属しながらも、自ら名付けた手法の脆弱性を積極的に批判し始めたのです。

「セキュリティ対策として無意味」という強烈な表現で問題点を指摘し、多くの関係者に衝撃を与えました。

この内部からの批判により、有識者やセキュリティ専門家の間でPPAPの見直し議論が本格化します。やがて「PPAP問題」という用語が生まれ、セキュリティ業界では常識的な認識となりました。

デジタル改革担当大臣が廃止方針を発表

2020年11月、平井卓也デジタル改革担当大臣の発言が業界に大きな波紋を呼びました。

17日の記者会見で「中央省庁職員のPPAP使用禁止」を明言し、政府の明確な方針転換を示したのです。

さらに一週間後には「自動暗号化ZIPファイル自体の廃止」を追加表明しました。この公式発表により、行政機関でのPPAP依存からの脱却が急速に進展します。

デジタル改革担当大臣の廃止方針発表は、民間企業の意識改革にも大きな影響を与え、業界全体の議論活性化に繋がったといえるでしょう。

JIPDECが公式声明を発表

従来「PPAP採用でプライバシーマーク取得が容易になる」という根拠のない定説が出回っていました。

JIPDECはこの状況を重く見て、ホームページに「プライバシーマーク制度ではPPAPを推奨していない」旨の明確な否定文章を掲載しました。

JIPDECは、プライバシーマーク制度の運営や、ISMS（情報セキュリティマネジメントシステム）の評価などを行う組織です。

公的機関による明確な否定は、多くの企業が抱いていた根拠のない安心感を払拭する重要な契機となりました。

NTTデータ

2021年7月、NTTデータは本格的なPPAP廃止に踏み切りました。社内規定改定による使用禁止措置と併せて、全社的な啓発活動を積極的に展開したのです。

代替手段として独自のファイル共有サービスを導入し、利用可能なクラウドストレージの選択肢も大幅に拡充しています。

従業員教育にも力を入れ、新しい情報共有手法の定着を図りました。大手IT企業による先進的な取り組みとして、業界内で注目を集めました。

日立製作所

日立製作所は2021年12月13日を期限として、パスワード付きZIPファイルの送受信を完全にブロックする設定を導入しました。

具体的には、メールシステム自体で該当ファイルの配送を自動的に抑止し、送受信時には「配送を抑止した」旨の通知を送付する仕組みです。

グループ外関係者との情報共有では、クラウドコラボレーションツールの積極活用を推進しています。企業グループ単位での包括的なPPAP廃止のモデルケースといえるでしょう。

freee

freeeは、2020年12月1日からPPAPを廃止すると公式サイトで発表しました。政府方針発表直後という早期タイミングでの決断が印象的でした。

顧客や取引先に対しては、従来のメール添付に代わる安全な手法への移行を積極的に働きかけています。

早期タイミングでの発表により、SaaSプロバイダーとしてのセキュリティ意識の高さを対外的にアピールする効果を実現しています。

SCSK

SCSKのPPAP廃止については、情報の重要度レベルに応じた段階的なアプローチが特徴です。

取り扱う情報の重要度レベルを4段階で分類し、レベルごとに最適なデータ送付方法を定めるガイドラインを策定しました。

高い機密性を持つ情報については、多要素認証やアクセスログ取得・保存機能を備えたストレージサービスの利用を義務化しています。

また、PPAP原則禁止の方針を社内展開しており、今後の規定改定に向けた準備も着実に進めています。

伊藤忠テクノソリューションズ（CTC）

伊藤忠テクノソリューションズ（CTC）は、現実的な運用を重視したバランスの取れたアプローチを採用しています。

クラウドストレージサービスBoxを中心とした社外共有体制の構築と、メールと添付ファイル分離ツールの導入などを検証しました。

これによりPPAPによるメール送信の大半を削減したものの、顧客都合で代替手法が使用できない場合に限り管理策付きでのPPAP継続を認めています。

完全廃止よりも取引先との関係性を考慮した実践的な判断を下した事例です。企業間の力関係や、業界事情を踏まえた現実的な対応として評価されています。

取引先との関係性

企業間の力関係がPPAP廃止の大きな障壁となっています。

特に中小企業では、大手取引先からPPAP継続を要求された場合に拒否することが困難な状況にあります。

長年の商習慣として定着したPPAPを変更することへの抵抗感が根強く残っており、個別企業の判断だけでは完全な脱却は難しいとされているのです。

取引継続を優先せざるを得ない企業では、セキュリティリスクを承知の上でPPAPを維持するケースが多く見られます。

社内ルール変更の難易度

PPAPを廃止する上では、組織内での合意形成プロセスが複雑な課題となっています。

セキュリティポリシー変更には経営層の承認が必要で、関連部署との調整や監査対応見直しには相当な時間を要するためです。

大規模な組織ほど部門間調整が複雑化し、迅速な移行が困難になります。従業員への教育コストやシステム変更に伴う運用手順整備も大きな負担です。

既存業務プロセスとの整合性を保ちながら段階的に変更を進める必要があり、長期的な計画策定が欠かせません。

代替案のセキュリティ要件

技術的な制約が移行を阻む要因となるケースもあります。企業が求める具体的なセキュリティレベルと、利用可能な代替サービスの機能に乖離が生じる場合があるのです。

規制の厳しい業界では外部サービス利用に対する制約が多く、選択肢が限定されてしまいます。

セキュリティ要件の詳細検証と適切な代替手段の評価プロセスが複雑化し、移行期間の長期化を招いています。

クラウドストレージを用いてファイルを共有する

クラウドストレージを活用すれば安全な環境でファイルを共有でき、わざわざパスワードを設定する必要もありません。時間と場所を選ばず、ファイルに自由にアクセスできることも利点の1つです。

このクラウドストレージは、前述した文部科学省の代替案として導入されている方法です。しかし、無料のサービスだと権限を細かく設定できないなどの難点があります。セキュリティをより強固にしたい方は、有料のサービスを選択しましょう。

別の通信経路でファイルとパスワードを送信する

すぐに実施できる代替案として、別の通信経路でファイルとパスワードを送信する方法が挙げられます。例えば、ZIPファイルはメールで送信し、パスワードはチャットや電話など別の経路で伝えます。

この方法を取ることで、現在の業務フローに大きな変更を加えることなく、パスワード漏洩のリスクを軽減することが可能です。ただし、ZIPファイルをメールで送信すると、マルウェアの1種であるEmotetなどの感染リスクが伴います。安全に利用するためには、別途でセキュリティ対策の強化が必要です。

マルウェアの対策方法について知りたい場合は、以下の記事をご確認ください。

【関連記事】マルウェアの対策方法とは？感染前後の対処法を詳しく紹介！

ファイル転送サービスを活用する

ファイル転送サービスも気軽に導入しやすい方法の1つです。ファイル転送サービスとは、インターネット上でファイルを送受信するサービスのことです。

サービスには無料と有料のものがあり、代表的なものとしては「ギガファイル便」や「クリプト便」、「SECURE DELIVER」などが挙げられます。

ファイル転送サービスの難点は、ダウンロードできる期間が限られていたり、URLの誤送信による情報漏洩のリスクが発生したりすることです。また、セキュリティ面を考慮する場合は、有料のサービスを選ぶ必要があります。

チャットツールを介してファイルを送受信する

ビジネスチャットを通じてファイルを送受信するという手もあります。他の方法に比べて容易に実現できるほか、誤送信のリスク軽減にも繋がります。

しかし、この方法を用いる場合は、前提として送信側・受信側が同じサービスのアカウントを所持していなければなりません。またチャットツールによってはファイル容量に制限があるため、大容量のファイルを送信できない可能性があります。

S/MIMEでファイルを送る

S/MIME（Secure / Multipurpose Internet Mail Extensions）とは、電子メールのセキュリティを向上させる暗号化方式のことです。暗号化されているため、メールを盗み見されても内容は解読されません。

また、電子署名を行うことで送信者の身元を証明できるほか、なりすましを防止できるといった利点があります。しかし、導入までのハードルが高く、送信側と受信側の両方がS/MIMEに対応していなければなりません。

S/MIMEのより詳しい情報については以下の記事で解説しています。

【関連記事】S/MIMEとは？「メール暗号化」と「電子署名」の仕組みを解説