PPAP (セキュリティ)

PPAP：危険なセキュリティ対策の実態と脱却への動き

PPAP（ピーピーエーピー）とは、パスワード付きZIPファイルで暗号化したファイルをメールで送り、パスワードを別途メールで送信するデータ送受信方法です。一見、セキュリティ対策のように見えますが、多くの専門家から危険な手法だと批判されています。本稿ではPPAPの仕組み、問題点、代替案、そして現在進行中の廃止の動きについて詳しく解説します。

PPAPの仕組み

PPAPは「Password付きZIPファイルを送ります、Passwordを送ります、Angoka（暗号化）Protocol（プロトコル）」の略称です。ファイル送信者は、ファイルをパスワードで保護したZIPファイルに圧縮し、メールに添付します。その後、そのZIPファイルのパスワードを別途メールで送信します。受信者は、2つのメールから情報を得て、ファイルを解凍します。特に、パスワードを最初のメールと同一の経路で送る方法を狭義のPPAPと呼びます。

PPAPの問題点

PPAPは、セキュリティ対策としては全く不十分で、むしろ危険を増大させる手法です。主な問題点は以下の通りです。

セキュリティ上の脆弱性: パスワード付きZIPファイルとパスワードが同じ経路で送られるため、攻撃者が一方を入手すれば、もう一方も入手できる可能性が高いです。これは、セキュリティ対策をしているという錯覚（セキュリティシアター）を生み出し、本来のセキュリティ対策がおろそかになる危険性があります。
パスワード解析の容易さ: 近年、パスワード解析技術は著しく進歩しており、パスワード付きZIPファイルのパスワードを短時間で解読される可能性があります。
マルウェア対策の回避: ZIP圧縮によって、マルウェアがアンチウイルスソフトウェアの検知を回避する可能性が高まります。
運用上の不便さ: パスワード付きZIPファイルの作成には専用のソフトウェアが必要であり、企業内での運用に混乱を招く可能性があります。また、スマートフォンでの閲覧にも専用アプリが必要となる場合があります。
文字化け問題: 日本語ファイル名において、異なるOS間での文字コードの不一致による文字化けが発生する可能性があります。

PPAPの普及と批判

PPAPは、プライバシーマークやISO/IEC 27000シリーズの監査に対応するための手法として、日本国内で官民問わず普及しました。しかし、その危険性から、多くの批判を受けています。企業のセキュリティ対策を向上させるどころか、むしろセキュリティリスクを高めているとして、問題視されています。海外ではほとんど見られない手法でもあります。

廃止の動き

PPAPの危険性が認識されるにつれて、官民で廃止の動きが進んでいます。

官庁: 2020年11月、平井卓也デジタル改革担当相は中央省庁におけるPPAP廃止の方針を表明し、内閣府と内閣官房ではPPAPが廃止されました。
民間: 日立製作所は2021年10月、日立グループ全体でPPAPを廃止すると発表しました。

PPAPの代替案

PPAPに代わる安全なファイル共有方法として、以下が挙げられます。

オンラインストレージサービス: Dropbox、Googleドライブ、OneDriveなど
ファイル送信サービス: データ送受信専用のサービス
ビジネスチャット: Slack、Microsoft Teamsなど
メールの暗号化: S/MIMEなど
グループウェア: 企業内データ共有システム
電子契約サービス: オンラインで契約を締結するサービス
ERP: 企業資源計画システム
* SNS: 企業内限定のSNS

結論

PPAPは、もはや時代遅れで危険なファイル送受信方法です。セキュリティ対策としてPPAPを利用することは、かえってリスクを高める可能性があります。上記の代替案などを検討し、安全なファイル共有方法に移行することが重要です。セキュリティ意識を高め、安全な情報管理体制の構築を目指しましょう。

もう一度検索