ビジネスシーンでよく使われてきた「PPAP」ですが、近年「意味がない」「問題点が多い」として廃止の動きが広がっています。PPAPは、一見するとセキュリティを強化しているように見えますが、情報漏えいリスクの増大や業務効率の低下、ウイルス検知の困難さなど数多くのリスクを抱えています。

そこで今回は、PPAPの仕組みと問題点、そしてなぜ「意味がない」と言われるのかを解説します。また、企業が導入すべき代替手段についてもご紹介します。ぜひ参考にしてください。

<この記事でわかる内容>

PPAPとは、「Password付きZIPファイルを送信し、Passwordを別メールで送信する」の略称です。以下の頭文字を取ってPPAPと呼ばれています。

この手法は、日本企業や官公庁で広く採用されてきたセキュリティ対策で、メール添付ファイルが第三者に閲覧されるのを防ぐことを目的としています。ファイルをパスワードで暗号化し、そのパスワードを別のメールで送信することで、仮に最初のメールが盗聴されてもファイルの内容は安全に保たれると考えられていました。

かつては「最低限のセキュリティ対策」と認識されていたPPAPですが、近年では情報漏えい防止に繋がらないことが明らかになりつつあります。そのため、「PPAPは意味がない」「むしろリスクがある」との見解から、廃止を進める企業が増加しています。

PPAPが広く使われるようになった背景には、日本の企業や組織のセキュリティ意識と、当時の技術的・法的な環境が絡み合っています。2000年代初頭、個人情報保護法の施行やプライバシーマークの取得が多くの公的機関の入札条件となり、さらにサイバー攻撃の増加も相まって、企業は情報漏えい対策の強化を迫られました。

このような状況下で、専門知識がなくても手軽に導入できるセキュリティ対策として、PPAPが注目を集めました。特に、メール誤送信による情報漏えいが社会問題となる中で、「とりあえず暗号化しておけば安心」という心理的な安堵感が、その普及をさらに後押ししました。

さらに、ZIPファイルの暗号化機能が標準で利用できたことや、特別なソフトウェアが不要だった点も、広く採用される要因として考えられます。

まず、PPAPの基本的な仕組みを見ていきましょう。手順はシンプルで基本的な流れは以下の通りです。

この方法がセキュリティ対策として「意味がない」と言われるのには以下の理由があります。

この方法は、パスワードを別のメールで送ることで安全性を確保しているかのように見えますが、ファイルとパスワードが同じ通信経路（メール）で送信されるため、盗聴や攻撃に対して脆弱であるという大きな欠点があります。メールが盗聴された場合、ファイルとパスワードの両方が同時に盗まれる可能性が極めて高くなります。

ちなみに、盗聴とは情報を不正に傍受することを表し、「聴く」ことができる情報に限りません。もともとは、電話などの電波を不正に受け取ることを指していましたが、その後はインターネットなどの通信全般に使われるようになりました。

パスワードで暗号化されたファイルは、送信側・受信側のウイルス対策ソフトが中身をチェックできません。その結果、悪意のあるウイルスが仕込まれていても、気づかずにダウンロードしてしまい、社内ネットワーク全体が感染するリスクを抱えることになります。

PPAPが抱える問題は、セキュリティ面だけではありません。日々の業務効率を低下させる要因にもなっています。

送信側は、ファイルをパスワード付きZIPにし、パスワードを生成し、それを別のメールで送るという複数のステップを踏む必要があります。一方、受信側も、届いたメールからパスワードを探し、コピー＆ペーストで入力するという手間が発生します。パスワードが届かない、あるいは見失ってしまった場合は、さらにやり取りが増え、無駄な時間と労力が生じます。

取引先から大量のPPAPファイルが届く場合、一つひとつパスワードを入力するのは大きな負担です。また、スマートフォンでファイルを確認したい場合、パスワード入力が煩雑になり、スムーズな確認が妨げられます。

さらに、リモート会議中にファイル共有が必要になった際、PPAPでは即座に対応できず、会議の効率を低下させるのも懸念点です。現代のビジネス環境では、場所や時間を選ばずにアクセスできるクラウドベースのファイル共有システムが求められる傾向にあり、PPAPのような旧来の手法は時代に即さなくなってきています。

PPAPの問題点が広く知られるようになった背景には、政府や大手企業の取り組みが大きく関係しています。

2020年、当時のデジタル改革担当大臣が「内閣府・内閣官房でPPAPを廃止する」と発表したことは、大きなニュースとなりました。この発表は、PPAPがもはや公的な業務にふさわしくない、時代遅れの慣習であることを明確に示しました。これに続き、多くの官公庁や地方自治体でも脱PPAPの動きが加速しています。

このような政府の動きに呼応するように、民間企業でもPPAPを見直す動きが活発化しています。セキュリティ意識が高い大手IT企業や金融機関が、取引先や顧客とのファイル共有方法をPPAPからより安全な方式へと切り替える事例が増えています。

PPAPからの脱却は、業務効率化に留まらず、情報セキュリティへの意識が高い企業として取引先からの信頼を得るためにも、経営上の重要な判断となっています。PPAPを継続することは、ビジネスパートナーにセキュリティ対策への疑念を抱かせるリスクがあると言えるでしょう。

PPAPを廃止するべきだと分かっても、「では、具体的にどうすればいいのか？」という疑問が残るでしょう。ここでは、PPAPに代わる安全かつ効率的なファイル共有方法をいくつか紹介します。

Googleドライブ、OneDrive、Dropbox などのサービスを活用することで、大容量ファイルの共有が容易になります。これらのサービスは、詳細なアクセス権限設定により、誤ってリンクを送信した場合でも、アクセス権限のない相手はファイルを開くことができません。また、ファイルへのアクセス履歴を管理できるため、セキュリティ面でも安心して利用できます。パスワード管理の手間が省けることも、業務効率向上に繋がる利点です。

特定の相手とファイルを共有する際に便利なのが、ファイル転送サービスです。GigaFile便のような無料サービスも広く利用されていますが、ビジネスで利用する場合は、セキュリティ機能が強化された有料サービスの利用をおすすめします。これらのサービスでは、ダウンロード回数や有効期限の設定、送信履歴の管理が容易に行えるため、ファイルをより安全にやり取りできます。

クラウドストレージとファイル転送サービスの違いは、それぞれの本質的な目的にあります。クラウドストレージは、ファイルを保管することが目的であり、その保管場所を共有することでファイルを共有します。一方、ファイル転送サービスは、ファイルを共有するために一時的に保持するもので、保管が目的ではありません。

既存のメールシステムを継続して利用したい場合、メールセキュリティサービスの導入が効果的です。その代表例が「HENNGE One」です。このサービスを導入すると、メール送信時に添付ファイルが自動的にURL化されるため、PPAPの脆弱性を根本的に解消できます。送信者は通常通りファイルを添付するだけでよいため、利用者の負担もありません。

HENNGE Oneでは、送信者がファイルを添付してメールを送ると、ファイルは自動的にURL化されてクラウドへアップロードされます。受信者には、ファイルダウンロード用のURLが記載されたメールが届きます。さらに、そのURLにアクセスすると、別のメールで認証コードが送信され、そのコードを入力することで初めてダウンロードが可能になります。

この仕組みにより、ファイルと認証コードが別々に送られるため、PPAPの脆弱性が解消されます。また、万が一メールを誤送信してしまっても、後からURLを無効化することで情報漏えいを防ぐことができます。

脱PPAPを始めるにあたり、事前の準備を怠ると、現場での混乱やトラブルを引き起こす可能性があります。ここでは、円滑な移行を実現するための重要なポイントを解説します。

PPAP廃止を決定したら、まずその理由を全社員に明確に伝えましょう。「なぜPPAPは危険なのか」「新しいファイル共有方法がなぜ必要なのか」を理解してもらうことで、移行への協力を得やすくなります。代替案の使い方に関するマニュアルを作成したり、説明会を開いたりして、社員が戸惑わないよう丁寧にサポートすることも重要です。

また、従業員のセキュリティリテラシーを底上げするために、外部サービスを活用するのも効果的です。たとえば、メール訓練サービスなどを利用することで、従業員一人ひとりがセキュリティ意識を自分ごととして捉えられるようになります。

取引先とのやり取りにおいては、相手企業がまだPPAPを使っている可能性があるため、一方的に新しい方法に切り替えるのではなく、移行期間を設けるなどの配慮が必要です。まずはPPAP廃止と新しい方法への切り替えについて事前にメールで通知し、移行期間を設けることでスムーズな移行を促しましょう。その際、クラウドストレージやファイル転送サービスなど、取引先が利用しやすい複数の代替案を提示すると良いでしょう。

また、新しいファイル共有方法への協力を求めるメールテンプレートを事前に作成しておくことで、担当者による対応のばらつきを防ぎ、丁寧な印象を与えることができます。

PPAPに代わるツールは世の中に多く存在します。自社に最適なものを選ぶことが、スムーズな移行の鍵となります。

ファイルが強力な暗号化方式で保護されるか、ウイルスチェック機能は備わっているか、二段階認証に対応しているかなど、安全性を確保するための機能をしっかり比較しましょう。

既に利用しているクラウドサービス（Google Workspace、Microsoft 365）や、業務システムとスムーズに連携できるツールを選ぶと、利便性が向上し、社員の負担が軽減されます。シングルサインオン（SSO）に対応しているかどうかも重要なポイントです。

最後に、PPAPに関してよくある質問とその回答をまとめました。

パスワード付きZIPファイルとパスワードを同じ通信経路で送るため、盗聴者には両方が同時に盗まれるリスクがあります。また、パスワード付きファイルはウイルス対策ソフトのチェックをすり抜けてしまうため、マルウェア感染のリスクが高まります。

セキュリティレベルが向上するだけでなく、パスワードの生成や管理にかかる手間がなくなり、業務効率が改善します。

複数の方法があります。Google ドライブ や OneDrive、Dropbox などのオンラインストレージ、セキュリティ機能が強化されたファイル転送サービス、そしてHENNGE Oneのような添付ファイルを自動でURL化するメールセキュリティサービスが挙げられます。