PPAP総研が「PPAPを廃止すべき」と主張するのは、セキュリティ対策として不十分と考えるためです。本記事では、なぜPPAPが適切なセキュリティ対策となり得ないのか、その詳細について解説します。併せて、有効な代替案も紹介しますので、ぜひ参考にしてください。
PPAP総研とは
PPAP総研は、日本情報経済社会推進協会（以下、JIPDEC）の大泰司 章氏によって設立されました。JIPDECはプライバシーマーク（Pマーク）の運営元であり、大泰司氏はそこで情報セキュリティなどに関するコンサルティングを行っています。
PPAP総研の名称に含まれる「PPAP」とは、大泰司氏が問題視するファイルの送信方法を指す呼称で、その名付け親は大泰司氏自身です。ちなみにPPAPという呼称については、「当時YouTubeで大流行した同名曲が由来となっている」という説が有力です。
なお、PPAPという呼称は、以下の頭文字で成り立っています。
「P」：パスワード（Password）付きZIP暗号化ファイルを送信する
「P」：パスワード（Password）を送信する
「A」：暗号化（Angoka）する
「P」：プロトコル（Protocol）
PPAP総研の大泰司氏が問題提起する理由
PPAPの問題点について触れる前に、PPAPの概要について簡単におさらいしておきましょう。PPAPとは、パスワード付きZIPファイルとパスワードを別々のメールで送付する手法です。以前は、ファイルを安全に相手へ送信する方法として普及していました。
大泰司氏は、PPAPには複数の問題点があり、セキュリティ対策として適切でないと問題提起しています。その具体的な理由は、以下の通りです。
マルウェアの流行
まず、パスワード付きZIPファイルの中にマルウェアが仕込まれていても、その仕様上、セキュリティソフトにて検知できない点が挙げられます。その結果、マルウェアが混入したパスワード付きZIPファイルを従業員が受信してしまう可能性も排除できないのです。
実際、PPAPを悪用した「Emotet」と呼ばれるマルウェアの被害が、日本でも確認されています。この攻撃では、まずマクロを含むWordファイルが、パスワード付きZIPファイルとしてメールに添付され送られてきます。
受信者が気づかずにWordファイルを開くと、マクロ実行と併せて、マルウェアもダウンロードされてしまうのです。そうして感染した結果、機密情報が奪われたり、社内の他端末に感染を広げたりといった被害が生じます。
Emotetによる被害が広がったことは、企業がPPAPを廃止するきっかけにもなりました。メールで送信されたパスワード付きZIPファイルを開くという、日本企業の習慣がターゲットにされてしまったためです。
情報漏えいリスクも万全とまでは言えない
PPAPは、情報漏えいを防ぐ手段として多くの企業で用いられています。平文で送信するのに比べて遥かに有効ではありますが完璧な対策とまでは言えません。まずパスワード付きZIPファイルの送信方法は、セキュリティ対策として適切ではありません。いずれもメールという同じ経路で送られているため、万一メールを盗聴されているような状況なら、2通とも内容を盗み見られてしまう可能性があります。このことから、PPAPによるファイルの送信は、セキュリティ対策としてもまだまだ課題があると言えます。
また、「パスワード付きZIPファイルは暗号化強度が弱い」という点にも注意が必要です。解析に時間がかからないうえ、さらに解析に利用可能なツール自体、誰でも簡単に入手できるからです。
加えてPPAPでは、2通とも誤送信してしまった場合、そもそも誤送信対策としても意味を成しません。1通目を誤った相手に送ってしまったときに、続けて2通目も誤送信しない保証は誰にもできないでしょう。そもそも誤送信を防ぎたいのであれば、1通目から誤送信を予防できる別の対策を考えるべきです。
このようにPPAPは、セキュリティ対策として不十分な点が多々見られます。これらの問題点が広く知られるようになり、近年では企業でPPAPを廃止する動きが加速しているのです。
ファイルを安全に送信するには
これまでPPAPを使ってきた企業は少なくありません。そうした中、いきなり「この方法は正しくない」と言われたところで、代替案がなければ脱却するのは難しいでしょう。以下では、PPAPに代わるファイルの安全な送信方法や共有方法について紹介します。
パスワードを長く設定
もしどうしてもPPAPを使い続ける必要があるのなら、少し工夫することで、セキュリティ対策としての品質を上げられます。まずパスワードについては、簡単に解析されないように複雑かつ長い文字列を設定してください。そのうえで、パスワードはメール以外の方法（電話・FAX・SMS）などで送るようにします。こうすれば、メールによってパスワードまで盗聴されるリスクは回避可能です。
ただし、そもそも別チャネルでの伝達が難しい場合も考えられます。例えば電話で伝達しようとする場合、「ZIPファイルを送るタイミングや、その後相手が電話に出られるタイミングを計算する必要がある」といった難しさが生じます。また近年では、ペーパーレス化の流れが加速していることもあり、そもそもFAXなどの端末を所持していないという企業も少なくありません。
さらに、この方法では「セキュリティソフトでマルウェアを検知できない」という問題が回避不可能であることにも要注意です。あくまで現状使っているPPAPについて、「少し」セキュリティ品質を高めるための方法として捉えておきましょう。
S/MIMEを活用する
「S/MIME」とは電子証明書を使い、メール暗号化とメールへの電子署名を実現する方法です。S/MIMEを用いることで、添付ファイルを暗号化できるうえ、送信者の証明（なりすましでない）も可能です。
ただし、S/MIMEは送信側・受信側ともに対応していなければ使えないうえ、この方法自体もあまり普及していません。そのため、利用するハードルはやや高いのが実情です。さらに、S/MIMEについても「セキュリティソフトでマルウェアを検知できない」という問題があります。
クラウドサービスを利用する
PPAPの代替案としてもっとも実現性が高いのが、クラウドストレージやファイル転送サービスといったクラウドサービスを活用する方法です。それぞれのサービスの概要や、代替案となり得る理由は以下の通りです。
クラウドストレージ
インターネット（クラウド上）でファイルの保存領域を提供するサービスです。セキュリティ対策がしっかり行われたクラウドストレージなら、PPAPの代替として適しています。
クラウドストレージのURLさえわかれば、目的のファイルへ簡単にアクセス可能できるため、ファイルのやり取りに手間がかかりません。またクラウドストレージでは、認証・アクセス制限・公開範囲といったセキュリティを高める設定も可能です。
クラウドまでの経路はSSL/TLSによって暗号化されているため、盗聴も予防できます。
ファイル転送サービス
クラウドから簡単に相手へファイルを送れるサービスで、HENNGEが提供するHENNGE Secure Transferや大塚商会が提供するどこでもキャビネットなどがよく知られています。ファイル転送サービスでは、クラウド上にファイルをアップロードし、そのURLを相手へ送ります。相手側はそのURLへアクセスすると、目的のファイルをダウンロードできるわけです。
ファイル転送サービスについても、認証・有効期限などのセキュリティ関連機能を利用できます。またクラウドストレージ同様、クラウドへのアクセスはSSL/TLSにより暗号化されるため、盗聴を予防可能です。
まとめ
PPAPは、ファイル・パスワードを同じメールというチャネルで送る都合、マルウェアを検知できないなどの問題点が指摘されています。そのためPPAP総研は、PPAPを有効なセキュリティ対策ではないと訴えています。さらにPPAPは、誤送信対策としても有効性を発揮しません。
ファイルを相手へセキュアに送りたい場合は、クラウドサービスの利用などが適切です。例えばクラウドストレージなら、通信経路が暗号化されているなどセキュリティ対策が十分なうえ、ファイルの受け渡しに手間がかかりません。
