PPAPとは? 意味とパスワード付きZIPファイル廃止のメリット

PPAPとは、パスワード付きのZIPファイルをメールに添付して送信した後、別のメールで開封パスワードを送信する、日本で多く見られる情報セキュリティ対策を意味します。

一般財団法人日本情報経済社会推進協会（JIPDEC）に所属していた大泰司 章（おおたいし あきら）氏が、問題提起のために、以下の文章の頭文字をとって命名した言葉です。

世界的に流行したピコ太郎氏のネタであるPPAP（ペン・パイナッポー・アッポー・ペン）から着想を得たと言われています。

昨今は、PPAPの持つ様々なデメリットに注目が集まり、2020年11月には平井卓也デジタル改革担当相が中央省庁における使用を廃止する方針を明らかにし、日立製作所も2021年度には社内でのPPAPを全面的に禁止する方針であることが明らかになるなど、脱PPAPの動きが進んでいます。

今回は、そのPPAPについて、何がメリットで今まで使われてきたのか、何がデメリットで廃止される方向性になったのか、そして、代替策にはどのようなものがあるのかなどについて、ご紹介できればと思います。

目次

ご覧になりたい項目をクリックすることで、該当箇所に移動することができます。

PPAPのメリット

PPAPの情報セキュリティ対策上のメリットとしては、以下の2つが挙げられます。

PPAPのデメリット

一方で、PPAPには以下のデメリットが指摘されており、廃止に向けた動きが加速しています。

それぞれについて、詳しく見ていきたいと思います。

1. 別のメールを探す手間がかかる

PPAPによって送られてきたZIPファイルを開封するために、受信者は、毎回、開封パスワードが記されたメールを探す手間が必要となります。

ちょっとした手間なのかもしれませんが、あまり効率的な手法とは言えません。

2. そもそも秘匿性が低い

情報を盗もうとする攻撃側が、暗号化されたファイルが添付されたメールを入手できるのであれば、当然、その後の開封パスワードが記載されたメールも入手できることになります。

開封パスワードの通知に、電話などのメールではない別の手段を用いないかぎり、情報セキュリティ対策としては不十分だと言えます。

また、パスワード付きZIPファイルは、パスワードの入力を何度でも試行できるため、総当たりでパスワード入力を繰り返していく専用のソフトウェアなどを用いれば、容易に開封することが可能です。

そもそも、Windowsではパスワードを入力しなくても、ファイル構成やファイル名を見ることができるなど、暗号化としては中途半端な仕組みだと言えます。

なお、前述のとおり、2通目の開封パスワード通知メールを1通目と同じ宛先に自動送信するシステムを用いている場合は、誤送信防止の意味合いもなくなります。

もし、手動送信であったとしても、人間であればいずれ機械的に同じ宛先に送る運用になるのが自然であるため、どちらにせよ誤送信防止にはあまり効果はないと言えるでしょう。

3. マルウェアフィルタをすり抜けてしまう

今や、多くの企業が、外部から受信したメールを自動的にスキャンし、悪質なマルウェアが仕込まれていないかをチェックする仕組みを導入しています。

しかし、メールに添付されたZIPファイルにパスワードが設定されていると、そのファイルの中身までスキャンし、チェックすることができず、結果としてマルウェアを見逃す可能性が高まってしまいます。

同様に、サンドボックス型と呼ばれる、安全な隔離された環境で疑似的にファイルを開封し、問題がないかをチェックする仕組みも適用できず、マルウェアに素通りされてしまう可能性が高まります。

4. スマートフォン端末からの閲覧性が悪い

コロナ禍によるテレワーク（リモートワーク）の一般化などにより、スマートフォンのビジネス活用の場面も増えてきています。

そのような状況の中、スマートフォンで仕事のメールを確認する際に問題となるのが、ZIPファイルの閲覧性の悪さです。

スマートフォン上でZIPファイルを解凍するには、専用のアプリケーションが必要となるOSもまだ多く、受信者側としては不便を感じることも少なくありません。

5. 情報セキュリティ対策を十分に行っているという慢心を生む

前述のように、情報セキュリティ対策として、PPAPの秘匿性はこの上なく低いものです。

しかし、会社は、PPAPを行っていることで「自分たちは情報セキュリティ対策を十分に行っている」と勘違いしてしまいます。

そのことにより、本来行うべき対策を行う機会を逸し、行うべき投資を行わず、自社と顧客の機密情報を危険にさらし続けてしまうのです。

PPAPの代替策

数々のデメリットを指摘されているPPAPの代替策としては、以下のものが挙げられています。

それぞれについて、詳しく見ていきたいと思います。

1. オンラインストレージの利用

オンラインストレージとは、インターネット上にファイルをアップロードし、他の人と共有することもできるWebサービスです。

ダウンロードに必要なパスワードを設定したり、閲覧やダウンロードを行うことができる相手を制限するなど、基本的なセキュリティ機能を備えているのが一般的です。

PPAPとは異なり、ファイルダウンロード時に会社が用意したマルウェアフィルタを通すことができますし、権限の設定でダウンロードが可能な相手を指定しておくことで誤送信防止の役目も果たせます。

2. S/MIMEの利用

メール自体をよりセキュアな状態にしようというものがS/MIMEです。

S/MIME（エスマイム）とは、「Secure / Multipurpose Internet Mail Extensions」を省略した言葉で、信頼できる第三者機関の認証局が発行した電子証明書を用いて、電子メールの暗号化と電子署名を可能とする仕組みです。

この技術により、メールの盗聴やなりすましを防止することができるとされています。

日本の経営層はPPAPを廃止できるのか

それでは、日本の民間企業の経営層は、様々なデメリットが指摘されているPPAPの廃止へと舵を切ることができるのでしょうか。

残念ながら、日本の会社の経営層の多くは、的確な判断をスピーディに行う能力に欠けています。

経営層だけではなく、組織全体として見ても、皆が、自身が責任をとらなくて済むように立ち回るため、既存の仕組み、慣行を変えるような案件は、なかなか進みにくいのが現実です。

しかし、そんな怠け者たちも、「他がすでにやっている」という状況には存外弱いものです。

新しいことはやりたくないけれど、「他社よりも遅れたくない、自分だけ損したくない」、「それがスタンダードになったというなら、そうすることに責任は発生しないだろう」という心理が働きます。

その点でも、今回、政府が率先して廃止に動き出したことは大きいと言えます。

PPAPにかぎらず、前例踏襲で行われてきた非効率な業務フローの改善を、日本の経営層が積極的に進めていくことを願ってやみません。