インターネット環境のなかでビジネスを行うことが当たり前となった現在、業務で使用するサービスやツールの選択と運用の仕方は、企業の生産性や信頼性に密接に関わるため小さくはない問題です。
インターネットの普及と同時に一般化した歴史のあるメールの運用に関して、セキュリティ面で問題とされているのがPPAPと言われるパスワード付きファイルの送信方法です。その問題点と代替するファイル共有の方法について解説します。
PPAPのZIP暗号化とは
PPAPは添付ファイル付きのメールを送信する際の手順のことです。
- 送信者は送信するファイルにてパスワードを設定してZIPファイルに圧縮
- 送信者は圧縮したファイルをメールに添付して1通目のメールを送信
- 送信者はファイルを解凍するためのパスワードを2通目のメールで送信
- 受信者は2通のメールを受信後、受け取ったファイルをパスワード入力し解凍
上記のような、添付ファイルの暗号化と2通のメールを送付するセキュリティ対策の手順をいいます。
この一連の手順のなかで、
- P：Password付きファイルを送信
- P：Passwordを送信
- A：暗号化
- P：Protocol（手順）
の頭文字を抜き出したもの、または “Pre send Password file After send Password”の頭文字を取ってPPAPと呼ばれています。
以前はメールを運用する際のセキュリティ対策として、大企業や官公庁などで広く行われている方法であり、プライバシーマークやISMS認証を得るために、PPAPの手順が広まったと言われています。
2020年初頭からPPAPの問題が認識され始め、デジタル庁はPPAP送信廃止の方針について発表しました。それによって多くの企業でPPAPをはじめとするメールからの情報漏洩を防止する手法を再検討する動きが進んでいます。
PPAPのZIP暗号化における問題点
PPAPはセキュリティ対策を目的として行われてきたものですが、ウィルススキャンが実行できない場合があるなどのセキュリティ面の脆弱さが指摘されています。また、より安全性の高い方法でファイルを共有可能なサービスが多く出現していることで、PPAPは社会的に廃止に向かっているのです。
情報漏えいリスクがある
PPAPでは暗号化やパスワード設定といった作業が煩雑化しやすく、作業工数も多くなります。そのため、「メールの送受信経路へ外部から侵入される」「送受信者間で誤送信が発生する」など、情報漏えいの起こる恐れも高い通信手段であることが指摘されています。
マルウェア攻撃に対応できない
2020年9月にJPCERT/CC（一般社団法人JPCERTコーディネーションセンター）がEmotet（エモテット）というマルウェアに関する注意喚起を公表しています。
ほとんどの企業の通信ネットワークはセキュリティ対策が実施されています。それらによって、ウィルスに感染したメールを受信した際に対策し、検出・隔離・駆除などを実行します。
しかし、Emotetに感染した添付ファイルはウィルス対策ソフトでは検出されにくい特徴があります。しかもZIPファイルを送信するというPPAPの特性上、添付ファイルを受け取った側はそれを解凍するまでウィルスチェックができません。結果、PPAPを用いたことで、ウィルスに感染しやすくなってしまったり、実際に感染してしまったりした事例が報告されています。
クラッキングされる危険性はメールに限ってあるものではありませんが、特に添付ファイルのやり取りで被害を拡大させてしまう可能性は高いと言えるでしょう。これらの事例はPPAPの安全性に疑問を投じた原因の1つです。
パスワードが予想・解析されやすい
ファイルを解凍する際にパスワードを設定できることが、PPAP最大のセキュリティ対策のメリットです。しかし、ZIPファイルを解凍するためのパスワード強度が低ければ、当然セキュリティの脆弱性につながります。
具体的な例としては、ZIPファイルのパスワード解析ツールはフリーソフトとして簡単に手に入ります。パスワードを知らない第三者がファイルを発見すれば、ツールによってファイルを開くことができるのです。
また、取引先などZIPファイルのやり取りが頻繁にある場合、「企業名をローマ字化したもの」など覚えやすい文字列をパスワードとして使いまわしている例も、少なくないようです。第三者から想定しやすいパスワードを設定していれば、解析ツールなしでパスワードが破られることも、可能性は低いですが、ありえなくはありません。
誤送信のリスクがある
添付ファイルに限らず、メールには誤送信のリスクが常にあります。PPAPではファイルを送る際パスワードと分けて2通のメールを送信しなければならず、誤送信する恐れが高まります。
送信者・受信者の工数増加
ZIP形式によるファイルの圧縮は、通信環境が整備されていない時代に利用されていました。ZIP化は大容量のファイルを効率的に送信する際に利用された方法です。
PPAP方式では、送信者側ではファイルの圧縮とパスワードの設定に加えてメールを2通送信しなければなりません。一方受信者側でも、パスワードを入力してファイルを解凍しなければなりません。送信者・受信者ともに通常の添付ファイルを送信する場合に比べ、作業が増えることになります。
誤送信でも指摘したように、作業の工数が増えることでヒューマンエラーの発生する工程が増え、セキュリティリスク増加につながります。しかもパスワードが破られやすいなどのデメリットも顕著に存在するため、PPAP方式を採用する積極的なメリットはほぼないと言えるでしょう。
PPAPの問題点を克服する代替手法とは？
こうしたPPAPに代わり、今日のファイル共有手段となっているのがクラウドストレージサービスです。クラウドをベースとしたさまざまなサービスが一般的になっているなかで、ファイル共有にクラウドを使うことは自然な流れといっていいでしょう。またPPAPを廃止できない企業にも、PPAP運用を続けながらセキュリティの安全性を高める手法を紹介します。
ファイルとパスワードを別の経路で共有する
ファイルとパスワードを異なるメールアドレスに送信することに触れましたが、送信手段はメールに限るものではなく、「別々の経路を使う」ことが重要なポイントです。
パスワードの通知手段はメールに限らず、電話やFAX、チャットプラットフォームを利用するといったことも考えられます。送信元と送信先の環境に合わせて柔軟な運用の仕方が求められます。
クラウドストレージを利用する
ファイルを共有することができれば、メールという手段を利用する必要がなくなります。
GoogleやMicrosoftをはじめとして、クラウドを利用した多くのストレージサービスが普及し、ファイル共有をしやすい環境が整ってきました。
メールでファイルをやり取りするのではなく、クラウド上に置かれたファイルに作業者がそれぞれアクセスするという方法を取るため、PPAPと比べて堅牢なシステムでファイルを共有することが可能となります。
クラウドストレージサービスは閲覧・編集権限や有効期限などを細かく設定できるので、よりセキュリティニーズに沿った形でのファイル共有が実現する点も、PPAPにはないメリットです。
まとめ
デジタル庁による発表などでPPAPの問題点が大きく話題になったことで、PPAPから別のセキュリティ対策手段に移行する企業も出てきています。一方で本日ご紹介した対策には一長一短があり組み合わせが必要です。方針検討に時間を割くことができない場合は複数の対策手法を備えたHENNGE Oneのようなクラウドセキュリティサービスを利用するのも一つの手です。
いずれにしても各企業にとってどのようなセキュリティ手法がよいのかを客観的に評価していくことが重要です。
