PPAPとは？
「意味がない・危険」と言われる理由と
脱PPAPの代替案を解説

社外へ資料を送るとき、まずZipファイルにパスワードをかけて添付し、そのすぐあとに「先ほどのファイルのパスワードをお送りします」ともう1通送る。この手順に覚えがあるなら、それがまさにPPAPです。多くの企業が長年、「きちんとした情報セキュリティ対策」として当たり前のように続けてきました。ところが近年は、この方法こそが情報漏えいのきっかけになりかねないと指摘され、評価が大きく変わっています。厄介なのは、まじめに運用している人ほど「対策済み」という感覚を持ちやすいこと。丁寧に続けてきたからこそ、かえって見直すきっかけを失いがちなのです。まずは、社内で長く続いてきた「当たり前」を、一度立ち止まって見つめ直すところから始めましょう。

PPAPで本当に問題なのは、単に効果が薄いことではありません。「パスワードをかけたから安全」という思い込みが、本来やるべき対策を後回しにさせてしまいます。この“対策しているつもり”の状態こそが、最大のリスクです。ここからは、PPAPがなぜ「意味がない」とまで言われるのかを、盗聴・ウイルス・手間・誤送信という4つの観点から具体的に見ていきます。

経路を盗み見られれば、ファイルもパスワードもまとめて漏れる

ファイルとパスワードを別々のメールに分けても、どちらも同じメール経路を通っていることに変わりはありません。そのため、通信経路そのものを盗聴されれば、暗号化したファイルとパスワードがそろって第三者の手に渡ってしまいます。暗号化されたZipファイルであっても、肝心のパスワードを見られてしまえば、中身は簡単に開かれてしまうもの。しかもパスワード付きZipファイルは暗号強度自体が高くないという指摘もあり、「別送しているから安全」という前提は、そもそも成り立ちにくいのが実情です。

ウイルスチェックが効かない｜Emotetに狙われた死角

パスワード付きZipファイルには、もうひとつ見落としがちな弱点があります。中身が暗号化されているため、セキュリティソフトがファイルを開いてウイルスチェックをすることができないのです。この“検査できない死角”を悪用して広がったのが、マルウェア「Emotet（エモテット）」でした。Emotetは、実在の取引先や知人になりすまし、過去のやり取りへの返信を装ったメールにパスワード付きZipファイルなどを添付します。受信者がファイルを開いて中の指示に従うと感染し、情報の窃取やさらなる感染拡大を引き起こしました。企業の規模を問わず大きな被害をもたらした、代表的な脅威です。なお「正規のメールへの返信を装う」「添付ファイルで感染させる」といった手口自体は、ほかのマルウェアでも使われ続けています。

送り手も受け手も手数が増え、仕事の流れを止める

PPAPは、手間の面でも現場の負担になります。送る側は、Zipファイルにパスワードを設定したうえで2通のメールを作成しなければならず、受け取る側も、2通のメールを確認してパスワードを入力する必要があります。加えて、スマートフォンやタブレットでは、機種やアプリの都合でZipファイルをうまく開けないことも少なくありません。テレワークやDXで“場所を選ばない働き方”を進めたい現場ほど、PPAPはかえって業務のスピードを落とす足かせになりがちです。

PPAPの危うさが知られるにつれ、脱PPAPの動きは官公庁から民間へと急速に広がっています。政府による廃止の表明、大手企業の対応、そして取引先からの「PPAPはやめてほしい」という要請もあります。自社がいや応なく対応を迫られつつある背景を、順に整理します。

脱PPAPを決めたら、次はどの方法に切り替えるか。ただ、代替案をいきなり並べて比べ始めると、機能の違いに目を奪われて「自社に本当に必要なもの」を見失いがちです。製品選びに入る前に、判断の“ものさし”を2つ用意しておきましょう。ここが定まっているかどうかで、その後の選定のスムーズさが大きく変わります。

PPAPに代わる手段は、大きく4つのタイプに分けられます。それぞれに向き・不向きがあり、先ほどの2つの判断軸に当てはめると、自社に合うものが絞り込めます。ここでは各タイプの特徴を簡潔に押さえます。個別サービスの詳しい比較は、別記事『PPAPの代替案とは？』もあわせてご覧ください。

ツールを導入すれば脱PPAPは完了、と思われがちですが、実際の山場はその先にあります。新しいやり方を現場に定着させ、取引先に周知し、社内ルールとして根づかせること。この運用フェーズでつまずくケースが少なくありません。多くの記事が触れないこの「次の壁」を、先回りで押さえておきましょう。

数ある代替案のなかで、担当者が本当に欲しいのは、機能そのもの以上に「なぜこれを選んだのか」を上司や取引先へ説明できる裏づけかもしれません。富士フイルムのクラウド型ファイル送受信サービス「SECURE DELIVER（セキュアデリバー）」は、そうしたニーズに応えやすいサービスです。送信前後の第三者（上長など）による承認、誰がいつ何を送ったかをたどれる操作ログ、ファイルの暗号化、一定期間が過ぎたファイルの自動削除といった仕組みを備え、“説明できる安全”と“現場の使いやすさ”を両立しやすい設計になっています。一度の送信で合計100GB（10ファイルまで）の大容量に対応し、料金は送信通数を軸にしたプラン選択型のため、自社の規模や使い方に合わせて選びやすいのも特長です。受け取る相手に専用アプリを求めない手軽さも、現場への定着を後押しします。「富士フイルムが提供している」という事実そのものが、社内の合意形成を進める材料にもなるはずです。

PPAPをめぐって検索されることの多い疑問を、まとめて整理しました。

PPAPが抱える根っこの問題は、「パスワードをかければ対策になる」という思い込みにあります。盗聴やウイルス、誤送信のリスクを踏まえれば、これからのファイル送受信に必要なのは、送る前に止められ、記録が残り、相手も迷わないこと。つまり“運用の仕組み”で安全を担保する発想です。まずは自社のやり方を棚卸しし、メールによるファイル送受信を会社として認めるかどうか、今あるツールで足りるかを見極めるところから始めてみてください。SECURE DELIVERのように体験版を用意しているサービスもあります。脱PPAPの第一歩を、社内外にも安全性を説明できるかたちで踏み出していきましょう。