コンプライアンス対策は、今日の企業活動に必須です。
特に個人情報等の取り扱いに関わるプライバシーポリシーはすべての企業が掲げており、情報は守られることが前提となっています。そのため、株主や投資家などの外部関係者が、その企業を信頼する一つの指標と言っても過言ではありません。
しかし、近年では社内メールなどから個人情報が流出する事件が頻発しています。その一因となり得ているのがPPAP方式という情報セキュリティ対策です。
今回は、そのPPAP方式について概要や企業が情報セキュリティを取り扱う上での問題点について解説します。
PPAP方式のプロトコルとは
PPAP方式のプロトコルとは、情報のやり取りを行う際に活用されてきた情報セキュリティ対策方法です。PPAP方式プロトコルは、以下の頭文字をとって命名されています。
P:パスワード付きZIPファイルの作成
P:パスワードの送信
A:ZIPファイルの暗号化
P:手順(英訳:プロトコル)
主に企業や政府が、見積書や契約書など文書やファイルなど組織内外の関係者に送付する際に、PPAP方式が利用されていました。PPAPが積極的に利用されていた背景については、次の通りです。
IT技術の進歩によって情報伝達のスピードは飛躍的に向上しましたが、一方でセキュリティに対する危機感は増すばかりでした。
例えば、情報漏えいによって、株価の下落や企業の信用問題の失墜があります。また企業活動へも多大な影響が出るなど、組織の存続に直結する問題へつながるでしょう。
そこで各企業は、コンプライアンス遵守の一貫として、プライバシーポリシーを掲げることとなります。しかし、より強固な情報セキュリティ対策を行うためには、専用ツール導入が必要で、手順も複雑な手法が多く、社内外での教育コストも必要となります。
社内外の人材すべてが、高い情報リテラシーを持っているということは珍しいケースでしょう。つまり上記のようなコンプライアンス遵守は、時間的・費用的なコストとして、企業の負担になります。こうした状況では、個人や企業情報に対する情報リテラシーの低い担当者にとっても、簡単に強固な情報セキュリティ対策を実行できる施策が必要とされたのです。そうしてPPAPが求められました。
では、PPAP方式プロトコルとは、具体的にどのような対応を取るのでしょうか。
手順としては、以下の順に行われます。
- 送付したいファイルをパスワード解錠付きZIP形式ファイルに変更する
- 送付したい相手に①で作成したファイルを送付する
- 続けて送付相手にZIPファイルの解錠パスコードを送信する
- 送付相手がパスワード付ZIPファイルを解錠し、ファイル形式に解凍する
PPAP方式の問題①セキュリティの脆弱性
上記のように、手順自体は比較的誰でも実践できるため、PPAP方式は情報セキュリティ対策として広く活用されてきました。
しかし、近年、そのセキュリティ面で脆弱性が問題視されるようになってきており、政府機関や大手ITベンダーなどの企業も続々とPPAP方式を廃止することを公表しています。
PPAPでは、ZIP形式ファイル自体は暗号化されています。しかしそれでも、次のような脆弱性があるのです。
セキュリティ上の問題がある
PPAP方式は、セキュリティ対策の一環として広く活用されてきましたが、メールでの送信形式を取ること自体がセキュリティ上の致命的な問題点と言えます。
この致命的問題性は、メールの通信形式に起因します。メール通信の多くは、SMTP/POPという送受信方式が採用されています。双方のメールサーバーまでメール内容を届けるという通信手順の総称ですが、この方法自体が暗号化されていないため、メールの内容を外部から傍受できてしまうのです。
SMTP/POPの暗号化対策としては、SMTPs/POP3sを利用するという方法もあります。しかしこれも、送付元PCとサーバーの間だけを暗号化するだけであるため、インターネット経由の通信中は暗号化されていない状況であることには変わりません。そのため、傍受可能な状態は改善されず、セキュリティ上の問題点として残り続けます。
ウィルス攻撃に対応できない
次に、ZIPファイル形式でのやり取りも問題とされています。
冒頭でZIP形式自体のセキュリティは高いと紹介しましたが、それはZIPファイルが暗号化されているからでした。
しかしコンピュータウィルスなどのマルウェアが感染したPCでZIPファイルを送付した場合、受信側がウィルス対策ソフトを導入しても検知されず、感染リスクが生じます。より具体的には次のとおりです。
企業や個人でも、PCにはウィルス対策ソフトを導入しているという方も多いでしょう。
しかし、ウィルス対策ソフトがコンピュータウィルスやマルウェアを検査する対象は、PC本体やサーバーなどに限られ、暗号化されたファイルにまで及ぶことがありません。そのため、仮にウィルス対策ソフトを導入していたとしても、送付元PCがウィルスに感染した状態でメールを送付した場合、受信者にもウィルスが感染してしまうのです。
パスワードの入力回数制限がない
別の重大な脆弱性は、パスコード入力に関する仕様にも存在します。パスワードZIP形式にするだけでは、パスワードの入力回数の制限はありません。つまり、何度でもパスワードの入力を試行することができるのです。
ZIPファイルには、「ZipCrypto」と「AES256」という暗号化形式が採用されています。両者の違いは設定できるパスワードのビット数です。
ZipCryptoは、最長96ビット。AES256は、最長256ビットでパスワードを設定することができます。とは言っても、最長の256ビットのパスワードを設定することは現実的ではありません。
その上、今やPCの処理速度は飛躍的に向上しています。パスワードの自動解析ツールなどを使用すれば、どんなに長いパスワードでも、数秒から数分程度で解錠できてしまうでしょう。
そのため、銀行やクレジットカード、Webサービスのログイン画面に至るまで、暗証番号の入力には、試行回数制限が設けられています。設定桁数が少なければ、なおさら第三者でも解錠するのは容易と言えます。
そのため、パスワード入力の回数が制限されていない点で、第三者への情報漏えいリスクが大きく懸念されています。
PPAP方式の問題②運用面の脆弱性
PPAP方式のセキュリティ上の脆弱性は仕様だけでなく、運用面にもあります。
デバイス・端末が限定される
今やPCだけでなく、スマートフォンやタブレットなどでもある程度の業務をこなせるようになりました。特にメールでの連絡などは、PCよりスマートフォンやタブレットの方が快適と感じる場面が多いのではないでしょうか。
このように、スマートフォンやタブレットのビジネス利用率はより高くなってきています。インターネット通信環境の整備やモバイル端末の高機能化なども伴い、ビジネスレベルでICT化が進んでいます。
PPAP方式を運用するためには、ファイルのZIP化が大前提ですが、PC以外のスマートフォンやタブレット端末では、ZIP形式ファイルの解錠はできても、生成に対応している端末は殆どありません。
ZIPファイルをPC以外で扱うための専用アプリケーションは存在していますが、ビジネスで使用する際には関係各社への共通利用化などの申請や許可が必要となってきます。
そのため、導入のハードルは高く、PPAP方式でのファイルの円滑なやり取りは、実質PCに依存する傾向にあります。現段階でさまざまな環境下でも運用できるセキュリティ対策としては十分とは言えません。
誤送信のリスクがある
PPAP方式が円滑なビジネス運用を阻害しかねない最大の問題は、誤送信の可能性です。
PPAP方式では、ZIPファイル送信後にパスワードを直接本文に入力する「ベタ打ち」で送信している場合が多くあります。
そのため、誤送信の際には簡単に第三者にパスワードが漏えいすることになります。PPAPの安全性とは、「送信元が受信先を誤らない」という大前提の基に成り立っているものです。しかし人間誰しもミスはするものです。
誤送信が起これば、事後には何ら対策はできません。これは、情報セキュリティ対策としては致命的な脆弱性になりえます。
PPAP問題における国内の動向
これまで親しまれてきたPPAP方式ですが、「セキュリティ面で多大な課題があること」が問題視されています。結果、廃止の傾向も顕著になってきていますが、代替方法はあるのでしょうか。PPAP方式の脆弱性を受けて、日本政府は、「PPAP方式でのファイル送信を取りやめ、ストレージサービス使用をしていく」と公表しています。
また本記事では、メールの暗号化自体は、セキュリティの強化へ直結しない旨も紹介しました。実際、メール暗号化ツールを販売提供していた日立ソリューションズが、そのサービス保守サポートを2022年6月に終了するなど、PPAP方式の廃止に向けて動きが活発になりつつあります。
今こそ、国内でも情報セキュリティについて深く考えるべきかもしれません。
まとめ
本記事では、ファイルの送付で用いられてきたPPAPの脆弱性について解説してきました。
情報セキュリティ対策における企業活動を行う上で、情報漏えいの当事者になるというリスクを考慮しなければなりません。
PPAP方式の脆弱性から、PPAP方式のあり方だけでなく情報セキュリティに対して向き合う必要性に迫られています。
- カテゴリ:
- メールセキュリティ