「パスワード付きZIPで送ります。パスワードは後ほど別メールで」——この一文を、まだ社内テンプレートから消せていない企業は少なくありません。取引先から「弊社はPPAPを廃止しました。別の方法で送ってください」と言われて初めて、自社の運用が止まっていたことに気づくケースもあります。
PPAP自体は法律で禁止されたわけではありません。ただ、内閣府と内閣サイバーセキュリティセンター（NISC）は2020年11月、中央省庁における当該方式の廃止を表明し、以降、大手企業を中心に取引先への同様の要請が広がりました。IPA（情報処理推進機構）も、暗号化ZIPがマルウェア検知をすり抜ける経路になり得る点を注意喚起しており、取引先のセキュリティチェックシートに「パスワード付きZIPでの送付を行っていないか」という設問が含まれるようになったのも、この流れの延長にあります。
この記事では、PPAPをやめたいがどう代替すればよいか迷っている情報システム担当者・総務担当者に向けて、次の3点を整理します。
- PPAPがなぜ問題視されているのか、技術的な理由
- 代表的な代替手段とその向き不向き
- 社内に定着させるための展開手順
PPAPが問題視される理由 ― パスワードを同じ経路で送っても意味がない
PPAPの弱点は「暗号化の強度」ではなく「鍵の運び方」にあります。ファイル本体とパスワードを両方メールで送る以上、メールアカウントが乗っ取られれば両方とも同時に盗まれます。これでは暗号化の意味がありません。
加えて、パスワード付きZIPはウイルス対策ソフトやメールゲートウェイのスキャン対象から外れがちで、中身を確認できないファイルがそのまま通過してしまうため、マルウェアの運び屋として悪用された実例が繰り返し報告されてきました。IPAが公開する「危険なメールの特徴」でも、暗号化されたファイル添付は注意対象として挙げられています。
受け取る側の負担も見過ごせません。スマートフォンではZIPの解凍アプリが必要になることがあり、テレワーク環境や外出先で「今すぐ開けない」という状況を生みます。安全対策のつもりが、相手の生産性を下げているわけです。
代替手段の比較 ― 万能な一択は存在しない
代替手段は一つに絞り込むより、ファイルの機密度と相手先の受け入れ環境に応じて使い分けるのが現実的です。主な選択肢を整理します。
| 手段 | 概要 | 向いている場面 | 注意点 |
|---|---|---|---|
| クラウドストレージの共有リンク | OneDriveやGoogleドライブ等でリンクを発行し、アクセス権限を個別設定 | 継続的なやり取り、大容量ファイル | 権限設定を誤ると誰でも閲覧可能になる |
| 法人向けファイル転送サービス | アップロード後、期限付きURLを送付する専用サービス | 単発の送付、社外との一時的なやり取り | 無料サービスは保存期間や容量に制限がある場合が多い |
| チャットツール上のファイル共有 | Slackやビジネスチャットの添付機能を利用 | すでに双方が同じツールを常用している場合 | 取引先が未導入だと使えない |
| S/MIME等のメール暗号化 | メール本文ごと暗号化する方式 | 継続的な機密文書のやり取り | 双方で証明書の導入・運用が必要 |
どの手段も、アクセスログが残るかどうかを確認しておきたいところです。誰が・いつ・どのファイルを開いたかを追跡できる仕組みは、後日の監査や取引先からの問い合わせに答える際の拠り所になります。この発想は、資産管理台帳の整備と根っこが同じです。台帳の作り方は別記事「資産管理台帳の作り方｜何を管理すればセキュリティ監査に耐えるか」で扱っています。
代替手段を選ぶ判断基準 ― セキュリティだけで決めない
判断基準は、セキュリティ強度・取引先の受け入れやすさ・運用コストの3つで見ます。どれか一つに偏ると、現場で使われなくなります。
セキュリティ強度だけで選ぶと、証明書管理が必要なS/MIMEのように、便利さを犠牲にした選択になりがちです。逆に手軽さだけで選ぶと、無料のファイル転送サービスを社員が個々に使い始め、会社として利用実態を把握できない「シャドーIT」を生みます。取引先が個人情報や契約書のような機密度の高いファイルを扱う場合は、アクセス権限を個別に設定でき、かつ管理者が利用状況を確認できるサービスを選ぶのが妥当です。
中小企業では予算の制約もあります。すべてを有償の高機能サービスに置き換える必要はありません。ファイルの機密度に応じて、社内共有は無料のクラウドストレージ、社外への機密文書は有償のファイル転送サービスと、段階を分ける進め方が現実的です。予算の制約があるなかでの優先順位の付け方は、別記事「中小企業の情報セキュリティ対策｜予算がなくても効果が高い順に」でも扱っています。
社内展開の進め方 ― 一斉切り替えより移行期間を置く
社内展開でつまずく最大の原因は、周知だけして猶予期間を置かないことです。ある日を境に「今日からPPAP禁止」と通達しても、取引先や現場の準備が追いつかず、結局こっそり元の方法に戻ってしまいます。
進め方としては、（1）現行のファイル送付手段を洗い出す、（2）代替手段を選定し試験運用する、（3）社内規程・メールテンプレートを改定する、（4）取引先への周知期間を設ける、（5）例外対応のルールを決める、という順序が扱いやすいです。軽視されがちなのが（5）です。「取引先のシステムがPPAPしか受け付けない」という状況は、現実に起こります。その場合の代替案（電話でパスワードを伝える、別の暗号化方式に切り替えてもらう交渉をするなど）をあらかじめ決めておくと、現場が個別判断で右往左往せずに済みます。
社内周知では、変える理由をセットで伝えるのが定着の鍵です。「上から言われたから」ではなく「なぜPPAPが安全でないのか」を短くでも説明したメールテンプレートを配布した企業では、切り替えがスムーズに進んだという声もあります。標的型攻撃メールの手口を理解してもらう社内教育も、この文脈で一緒に進めると効果的です。教育が形骸化しない伝え方については、別記事「セキュリティ教育が形骸化する理由｜現場が動く伝え方に変える」で詳しく扱っています。
エレコムのセキュリティ関連製品・サービス
ファイル送付の手段そのものを見直す際、あわせて自社の情報セキュリティ運用全体を点検しておくと、取引先からのチェックシート対応もスムーズになります。エレコムでは、法人向けにセキュリティ関連の製品・サービスを提供しています。
| 項目 | 内容 |
|---|---|
| 製品カテゴリ | セキュリティアセスメントサービス、セキュリティUSBメモリ |
| 対応範囲 | 現状のファイル授受・情報管理の運用状況の確認、暗号化・管理機能を備えた記録媒体の提供 |
| 想定用途 | PPAP廃止に伴う運用見直しの一環としての現状把握、オフラインでの機密ファイル受け渡し |
クラウド経由の送付に切り替えられない相手先とのやり取りが残る場合、USBメモリなど記録媒体を使う場面は依然としてなくなりません。その際の暗号化・管理機能については、別記事「セキュリティUSBメモリの選び方｜暗号化・管理機能の比較」も参考にしてください。仕様や価格の詳細は、以下の製品ページで確認できます。
よくある質問
Q1. 取引先がまだPPAPでの送付を求めてくる場合はどうすればよいですか。
まずは代替手段を提案し、難しい理由を確認します。相手先のシステム制約で変更できない場合は、パスワードを別経路（電話や口頭）で伝えるなど、せめて「同じ経路で両方送らない」状態に近づけることが現実的な落としどころになります。全面的な解決が相手先の対応次第になる点は、あらかじめ承知しておきましょう。
Q2. クラウドストレージの共有リンクは、メール添付より本当に安全なのですか。
リンクの有効期限やアクセス権限を適切に設定していれば、不特定多数に開かれるリスクはメール添付より低く抑えられます。ただし「誰でも閲覧可」のまま発行すれば、PPAPより無防備です。効果が出るのは、設定を誤らない運用ルールとセットにしたときだけです。
まとめ ― 「やめる」より「何に置き換えるか」が本題
PPAPの廃止そのものは目的ではありません。パスワードと本体を分離しても安全性が上がらない、という構造的な弱点を理解したうえで、自社と取引先の双方が無理なく使える送付手段に置き換えることが本題です。
- PPAPの弱点は暗号化の強度ではなく、パスワードを同じ経路で送ってしまう運用にあります
- 代替手段はクラウドストレージ、ファイル転送サービス、チャット共有、メール暗号化などがあり、ファイルの機密度に応じて使い分けます
- 社内展開は一斉切り替えでなく、移行期間と例外対応ルールをセットで用意します
チェックシートで送付方法を問われる場面は、今後も増えます。回答に迷ったら、まずは自社の現状把握から始めると良いでしょう。
