PrizmDoc

無料体験 お問い合わせ・資料請求
menu メニューを閉じる

新着情報

製品に関する情報をはじめ、ホワイトペーパーやコラム記事、セミナー開催などの
イベント情報といったPrizmDocに関する最新情報をご案内します。

  • コラム

セキュリティにおけるPPAPとは？問題点は？代わりに何を使えばいい？

2020年11月に中央省庁で廃止されることが発表されて有名になった「PPAP」。セキュリティ上の問題ということは知っていても、それがどういうもので、なぜ使ってはいけないのか正確に把握していますでしょうか。対策を打つためにはしっかりとした知識を身につけておくことが求められます。

そもそもPPAPとは？

PPAPとは、当時流行した機密性の高い添付ファイルをメールで送る際の手順をあらわしており、、具体的には、

  1. 「P」Password付きZip暗号化ファイルを送ります
  2. 「P」Passwordを送ります
  3. 「A」暗号化します
  4. 「P」Protocol

ということを行います。
これにより、添付ファイルまたは添付ファイル付きのメールが流出したとしても、ファイルの中身を見るのが難しいということで、広く使われていた方法です。

PPAPのメリット

これまで広く使われてきたということは、PPAPにもメリットがあります。PPAPのメリットを3点ご紹介しましょう。

メール配送の途中経路における盗聴防止

PPAPで添付ファイルを送った場合、そのメール単体で流出したり、盗み見られたりしても、重要な添付ファイルは暗号化されていて見られない、というのがPPAPのメリットの1つです。
ただし、後述の通り、パスワードを送るメールも同じ経路を使っていたので、あまり有効な手段であるとはいえません。

誤送信防止

メールの宛先を間違えるということはしばしば発生します。その際、PPAPを使っていれば、添付ファイルを送信した時点で宛先の間違いに気づき、パスワードの流出を防げる、というのもメリットとされています。
実際には、宛先もコピペで何も考えずに送ることが多かったり、添付ファイルを自動でパスワード付きZIPファイルに変換し、パスワードを自動で後から送信するサービスがあったりして、あまり有効な手段とはいえないのが実情です。

受信者が添付ファイルを開けやすい

PPAPを利用した場合、ZIPファイルはOS自体がサポートしていることが多いことから、送信者も受信者も追加のソフトが不要であるという点がメリットとして挙げられます。
これについてはメリットとして異論はなく、PPAP最大のメリットといえるかもしれません。

PPAPのデメリットと問題点

前述のメリットにおいても問題点について述べましたが、PPAPにはさらなるデメリットと問題点があります。

メールアカウントが乗っ取られたらアウト

PPAPは添付ファイルを暗号化したZIPファイルとそのパスワードを同じ経路で送信することから、メールアカウントを乗っ取られたらアウトです。また、メールアカウント自体が乗っ取られなくても、通信を傍受された際にもリスクが発生します。

ZIPファイルのパスワードが脆弱

ZIPファイルにつけるパスワードは、一般的なツールを用いて比較的短時間で解析できる程度の強度しかないといわれています。また、解析を難しくするには長く、かつ英数字記号を混ぜた複雑なパスワードが必要ですが、利便性の点からわかりやすいパスワードをつけてしまっているという方も多いのではないでしょうか。

ウイルスチェックができない

パスワード付きZIPファイルはウイルスチェックができない場合があります。セキュリティソフトの使用はビジネスなどの用途では当たり前ですが、PPAPを使って送信されたメールに対し、セキュリティソフトがそれを検出できず、PPAPに慣れた従業員が何も考えずにそれを解凍して感染するということは十分考えられるでしょう。
実際、パスワード付きZIPファイルによる感染を狙った「Emotet」と呼ばれるマルウェアが世の中に出回っています。

マルウェア対策ソフトがパスワード付きZIPファイルをブロックすることを推奨

前述の「Emotet」などのマルウェアの流行を受けて、米国土安全保障省のサイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、パスワードが設定されたZIPファイルをマルウェア対策ソフトによってブロックすることを推奨しました。
これにより、今後はパスワード付きZIPファイルを添付ファイルとして使用できなくなる可能性があり、PPAPからの早期の脱却が求められます。

日本政府がPPAPを廃止

日本ではパスワード付きZIPファイルを使う文化が根強く残っているといわれていますが、2020年11月には日本政府が中央省庁の職員が文書などのデータをメール送信する際にパスワード付きファイルを廃止する方針を明らかにしました。

各企業でもPPAPからの脱却を進めているとみられ、今後はPPAPを使っていることでセキュリティをあまり重視していない、あるいはセキュリティに明るくない企業とみなされる可能性があるかもしれません。

おすすめではないPPAPの代替案

PPAPが使えなくなった今、代わりにどのような手段を使えばいいのでしょうか。まずは、おすすめではない代替案について解説します。

平文でのファイル送信、パスワード無しZIPやパスワード無しリンクの送信

PPAPが使えなくなったからといって、ファイルをそのまま添付して送信したり、パスワード無しZIPやパスワード無しリンクの形で送信したりするのはおすすめできません。
セキュリティ性が低下し、流出のリスクが高まる危険性があります。

メール以外の方法でパスワード送付

パスワード付きZIPファイルをメール添付するのはそのままで、パスワードを伝える手段を電話やSMS、FAXに変更するという案も考えられますが、こちらもおすすめできません。
前述の通り、そもそもパスワード付きZIPファイルを添付ファイルとして使うこと自体にリスクがあり、そこが解決できないためです。

おすすめのPPAP代替策

次に、おすすめのPPAP代替案について解説します。

クラウドストレージでファイル共有

データを共有する際にメール添付するという方法をやめて、クラウドストレージでファイルを共有するという手段は推奨される代替案の1つです。
クラウドストレージの場合、ファイルやフォルダへのアクセス権を制御することができるため、セキュリティ対策は十分であるといえます。たとえファイルやフォルダへのリンクが入ったメールが流出したとしても、それだけではデータの流出にはつながらないためです。
また、クラウドストレージには、どこにいてもネットワークにつながっていればアクセスできたり、チームで1つのファイルの共同編集が容易であったりといった、メール添付にはないメリットもあります。

メール自体を暗号化

どうしてもデータの共有にメールを使いたい場合は、メール自体をS/MIME（Secure / Multipurpose Internet Mail Extensions）のような方式で暗号化するという方法が考えられます。S/MIMEでは、メールを暗号化して盗聴を防ぐだけでなく、メールに電子署名することで送信者のなりすましやメール改善の防止にも貢献できます。
ただし、送信者と受信者の双方がこの方式に対応しておかなくてはならないため、特に外部の方とのやり取りの際には、事前準備が欠かせません。

ChatworkやSlackなどのチャットツール上でファイル送受信

最近では、ChatworkやSlackといった、ビジネスでも使えるチャットツールが普及しています。これらのチャットツールを用いてファイルを送受信することで、送信相手が特定できるため、リスクを下げることが可能です。また、チャットツールのなかにはクラウドストレージとの連携が可能なものもあります。
この方式も、送信者と受信者の双方が同じチャットツールのアカウントを持っている必要があり、外部の方とのやり取りの際は、この点が障壁になる可能性があります。

PrizmDocでPPAP脱却！ブラウザ上でセキュアにファイル閲覧！

この記事で紹介したとおり、クラウドストレージを使えばPPAPに比べてセキュリティ性を向上することができますが、それでも完全とはいえないでしょう。
例えば、クラウドストレージから共有されたファイルを閲覧するためにダウンロードすると、ダウンロードしたパソコンが乗っ取られた際にそのファイルが流出してしまいます。

ラネクシーのPrizmDocを使えばさらにセキュアにファイルを扱うことが可能です。
PrizmDocはサーバーに組み込むビューアであり、クラウドストレージに格納したファイルをSVG形式に変換してブラウザで閲覧することができます。元データをダウロードすることなく、かつ一時的にブラウザに投影するだけなので端末にデータが残らず、流出のリスクを下げることにつながるでしょう。

また、ブラウザ上でのデータ閲覧を行うため、端末に特定のアプリケーションをインストールしなくても、Officeファイル、PDF、CAD等様々なファイルを表示させることが可能です。PPAPを脱却し、万全のセキュリティ対策を行いたい方にはPrizmDocがおすすめです。

PrizmDocには無料体験版が用意されておりますので、お気軽にお問い合わせください。

PrizmDocコラム一覧