PPAP問題とは？具体的な問題点・代替案・セキュリティ対策を紹介

メールが盗聴される可能性

PPAPを利用してファイルを共有すると、メールが盗聴される危険性があります。パスワード付きZIPファイルと別途で送信されるパスワードは、結果的に同じ経路を使用することとなります。

つまり、同じタイミングでメールを盗聴されると、パスワード付きZIPファイルとパスワードが同時に盗まれてしまい、セキュリティの意味を成さなくなってしまうのです。また、1通目と2通目を別の相手に送ってしまう、といった情報漏洩のリスクも伴います。

ウイルスチェックすり抜けによる被害

PPAPではZIPファイルの内容を隠して送信するため、受信側のセキュリティソフトが正確に作動せず、ウイルスチェックをすり抜ける可能性があります。その結果、悪意のあるマルウェアのファイルを開いてしまい、システム全体が感染するという危険性があるのです。

マルウェア感染は社内だけでなく、社外の取引先や顧客にも影響を与える可能性があります。

【関連記事】マルウェアとは｜ウイルスとの違いや種類・感染経路・感染したときの対処法

パスワード解読が容易

パスワードが解読されやすい点も、PPAPの問題点の一つとして挙げられます。専用のプログラムが使用された場合、ZIPファイルのパスワードは短時間で解読される可能性があります。

暗号化方式には大きく「ZipCrypto（Standard ZIP 2.0）」と「AES-256」の2種類があり、PPAPでは多くの場合で前者が採用されています。「ZipCrypto」は安全性が低く、暗号解読は何度でも入力できるため、時間をかければいずれはパスワードを突破されてしまうのです。

作業効率の低下

PPAPを採用すると、作業効率が低下するという難点が伴います。PPAPでは、パスワードを別のメールで送信する必要があるため、送信者と受信者双方の作業量が増加します。

例えば、送信者はまず情報をZIPファイルにまとめ、それをパスワードで暗号化して相手に送信します。その後、ZIPファイルを開くためのパスワードを別のメールに添付し、同じ相手に送信するという一連の作業が必要です。

受信側もまた2通のメールを受け取り、それぞれのメールに含まれる情報を使用してZIPファイルを解読する手間が生じます。この運用を日常的に繰り返すと、作業効率の低下に繋がってしまうのです。

クラウドサービス

クラウドサービスは、データをインターネット上のサーバーに保存し、特定のユーザーのみがアクセスできるようにするサービスです。データの取り扱いが容易で、アクセス制御や暗号化機能が備わっている点が特長です。

また、安全な環境でファイルを共有できるため、PPAPのようにパスワードを設定する必要もありません。政府はクラウドストレージの利用に移行する方針を発表しています。

別経路を利用する

すぐにPPAPから切り替えたい場合、別経路を利用する方法が推奨されます。これは、ZIPファイルとパスワードを別々の経路で送信する方法です。

例えば、ZIPファイルをメールで送信し、パスワードはチャットツールで送信するなどがこれに該当します。送信経路を分けることで、仮に一方の通信が盗聴されても、必要な情報が揃わずデータの漏洩リスクを軽減することが可能です。

ファイル転送サービス

ファイル転送サービスは、ファイルやデータをインターネットを介して送受信するためのオンラインサービスです。特徴として、ファイルの容量制限が少なく、高速にファイルを送受信できる点が挙げられます。

実際の流れとしては、特定のサーバーにファイルをアップロードし、相手にダウンロードリンクを送信します。相手がそのリンクを開き、ファイルをダウンロードすれば共有は完了します。ファイル転送サービスの難点は、一定期間経過するとファイルが自動で削除されることです。

S/MIME

S/MIMEとは「Secure / Multipurpose Internet Mail Extensions」の略称であり、電子メールの内容や添付ファイルを暗号化する規格のことです。これにより、メールを第三者に見られたとしても、暗号化されているため内容は解読されません。

この規格は、Outlookなど多くのメールサービスでサポートされています。なりすましを防止できるといった利点もあります。

ビジネスチャットツール

ビジネスチャットツールは、企業や団体内のコミュニケーションを効率的に行うためのツールです。ファイルの共有やタスクの管理、ビデオ通話などの機能を備えています。

代表的なものとして、Chatwork、Slack、Microsoft Teamsなどが挙げられます。メールよりもスピーディなファイル共有が可能であり、使い方次第ではセキュリティ対策を強化することが可能です。

ウイルス・マルウェア感染への対策

PPAPの廃止で生まれた脆弱性を突かれ、悪意のある第三者からウイルスやマルウェアを送り込まれる可能性があります。ウイルスやマルウェアからデバイスやネットワークを守るためには、以下のような対策が有効です。

【関連記事】マルウェアの対策方法とは？感染前後の対処法を詳しく紹介！

情報漏洩への対策

PPAPの廃止にかかわらず、情報漏洩への対策は徹底すべきです。企業の機密情報が流出すると、ブランドイメージの失墜、金銭的損失の発生など、複数のリスクが生まれます。重要情報や顧客データの漏洩を防ぐための対策は以下の通りです。

【関連記事】情報セキュリティ対策の具体例とは？対策を怠った場合のリスクについても解説

不正侵入・ハッキングへの対策

​​不正侵入やハッキングは、企業のITインフラにとって重大なリスクを持つ問題です。これを予防・対策するための具体的な方法は以下の通りです。

【関連記事】ハッキングとは？代表的な手口と有効な7つの対策を詳しく紹介