2020年11月、平井卓也デジタル改革担当相は、中央省庁の職員がファイルをメールで送信する際に利用する、パスワード付きzipファイルを廃止する方針であると表明しました。これにより、世間で大きく注目を集めることになった言葉が「PPAP」です。この、パスワード付きzipファイルは何が問題なのか、安全安心なデータの受け渡しを実現するために、どのような取り組みが必要なのか、NRIセキュアテクノロジーズの土屋亨に聞きました。

パスワード付きzipファイルの問題点

日本の多くの企業や官公庁では、ファイルをメールで送信する際、パスワード付きzipファイルで暗号化のうえ1つめのメールに添付して送信、そのzipファイルを開くために必要となるパスワードを2つめのメールで送信する方法が利用されています。

これはPPAP「Password付きzipファイルを送ります、Passwordを送ります、An号化（暗号化）Protocol（プロトコル）、の頭文字を取ったもの」と揶揄される方法です。現在広く普及しているメール送受信の仕組み（SMTP）の弱点であった暗号化を補い、メール盗聴を防ぐ工夫とされてきましたが、セキュリティ的には決して安全とは言えません。もし攻撃者にメールが盗聴されていると、パスワード付きzipファイルが添付されているメールとパスワードが記載されたメールの両方が盗み見られることになり、攻撃者は簡単にzipファイルを開封できてしまうためです。

本来防ぎたかった盗聴対策のためにパスワード付きzipファイルを利用するのであれば、パスワードを別の手段で相手に伝えるべきです。たとえばスマートフォンの電話番号宛にSMS（ショートメッセージ）を送信するといった形が考えられます。この形であれば、攻撃者はメールの盗み見だけでなく、スマートフォンに届いたSMSの内容も把握しなければファイルを開くことができないため、セキュリティ強度を高められます。

ところが最近、EmotetやIcedIDと呼ばれるマルウェアがウィルスチェックを逃れるため、パスワード付きzipファイルとしてメールに添付される攻撃手法が登場しはじめるなど、zip暗号化にはさらなるセキュリティ課題も生じています。

このようにPPAPにはセキュリティ的な問題点があるにも関わらず、実際には多くの企業、多くの人たちが今もパスワード付きzipファイルとパスワードをメールで送信しています。もはやセキュリティ対策のためではなく、ひとつの様式美になっていると言っても過言ではないでしょう（より専門的には劇場型セキュリティ（Security Theater）と呼ばれています）。

PPAPで生じる“手間の無駄”

このパスワード付きzipファイルの利用について、平井卓也デジタル改革担当相は全廃する方針を明らかにしています。直接的な背景にあると考えられるのは、デジタル改革の進め方などについての意見募集のためにデジタル改革関連法案準備室が作成した「デジタル改革アイデアボックス」と、そこに寄せられたPPAPをやめるべきという意見です。当アイデアボックスには投票の仕組みがありますが、このPPAPに関する意見はもっとも賛成票を集めました。

PPAPが現在のように国内で広まった理由はいくつか考えられます（国外ではほとんど用いられていません）。もっとも身近な理由は「他社がやっているからやったほうがいいと思って真似た」といったものでしょう。大手企業からPPAPでファイルが送られてくる、これはおそらくセキュリティ対策のためにそうしているだろう、自分たちも取り入れよう、といった形です。

一方でPPAPには意味がない、無駄だと考えていたビジネスマンは少なくなかったでしょう。そもそもパスワード付きzipファイルを開くには、そのファイルをダブルクリックしてパスワード入力画面を表示し、別メールに記載されたパスワードを入力しなければならず、通常のファイルよりも手間がかかります。ましてや本来の盗聴対策の意味合いが薄れた形だけのセキュリティならば、こうした無駄を排除したいと考えるのは当然ではないでしょうか。

PPAPに反対する機運が高まったのは、セキュリティ意識の高まりよりも、こうした労力の無駄に対しての不満も背景にあると考えられます。平井氏は河野太郎行政・規制改革担当相との対話の場において、「全ての文書をzipファイル化するのは何でもはんこを押すのに似ている。そのやり方を今までやってきたからみんなやってたと思う」^※と、同様に廃止に向けた気運が高まっているはんこに暗号化zipファイルをなぞらえています。これは、日本経済全体が形骸化した慣習への無駄な労力（コスト）を割くことから脱し、より本質的な活動にリソースを割くべきだという、生産性高いデジタル社会を目指す政府のメッセージだと捉えるべきではないでしょうか。

脱PPAPをDXに向けたチュートリアルに

今後も、PPAPに対して何らアクションを起こさず、これまでと同じように暗号化zipファイルを送る企業は一定数残るでしょう。ただ、何もアクションを起こさなければセキュリティや生産性への感覚に対する感度が低い企業だと評判を落とすレピュテーション（評判）リスクがあることも忘れてはなりません。こうした様々なリスクがあることを理解し、自社の業務やセキュリティ対策について棚卸しを行い、安全にファイルを送るためにどういったサービスを利用すべきなのかを判断して脱PPAPに向けた取り組みを進めていくべきです。

そもそもPPAPが形だけのセキュリティですから、そのPPAPを単純に代替しどの企業にも有効な対策サービスなどは安易に存在しません。必要十分な効果と経済合理性を両立する本質的な代替策は、各企業のじっくりと腰を据えた検討によって決まっていくものであって、これまでのやり方を見直し変えていく企業の意思が必要になります。

脱PPAPを検討する観点は様々ですが、業務にわかりやすく影響する「インターフェース」を切り口に整理した代表的なPPAP対策を例示します。

図：PPAP対策の例

このように考えていくと、脱PPAPはDXに向けた取り組みのための基本、チュートリアルではないかと感じています。きちんと考えて取り組み、現場に変化を起こしていくという意味では、PPAP対策もDXの取り組みの1つと捉えられるためです。逆に脱PPAPもままならないようであれば、DXによる変革を成し遂げることは難しいのではないでしょうか。

NRIセキュアテクノロジーズでは、「クリプト便」という企業向けのセキュアファイル転送／共有サービスを、2001年から提供しています。PPAP対策のひとつとして有効であり、多くの企業・組織で利用されています。
脱PPAPをはじめ、DXへの取り組みにセキュリティ面で不安が残ることなどがあれば、ぜひご相談ください。

• ITmedia NEWS（2020年11月17日付）記事より
  霞が関でパスワード付きzipファイルを廃止へ　平井デジタル相