政府が廃止を決定した「PPAP」の問題点

「PPAP」とは、何かご存じだろうか？

例の動画楽曲ではない。メールでファイルを送受信する際のセキュリティ対策手法を簡単に伝える略称だ。

この「ペンパイナッポーアッポーペン」ではない「PPAP」に関する最新レポートがこのほど、三井住友DSアセットマネジメントにより公開された。

ペーパーレス、テレワークの普及で情報セキュリティは一層重要に

■コロナ禍で大きく変化した仕事環境

ペーパーレスやテレワークの動きは以前からあったが、ペーパーレスでは印鑑、テレワークでは対面での営業や協働を尊ぶ文化などがネックとなり、なかなか普及しなかった。

しかし、コロナ禍で感染拡大防止のため非接触型の仕事環境が必要となったことから、ペーパーレスやテレワーク導入の動きが一気に加速した。会議や商談はオンラインで行うことが広く受け入れられ、資料は印刷物よりもファイルが多くなった。情報や資料のやり取りにはメールを利用することが増え、ファイルを添付したメールを送る機会も増えている。

ペーパーレスやテレワークは、一旦その環境になれれば、新型コロナ感染拡大が収束した後も、もとの紙ベースやテレワークのない環境には戻らないだろう。むしろコストや効率性のため一層進んでいくと思われる。そのような環境下では、これまで以上に情報セキュリティの重要性が高まると考える。

メールの誤送信による情報漏えいは年々件数が増加しており大きな問題となっている。様々な防止策が考えられているが、安全で簡単な方法はない。

その中で、日本では「PPAP」と呼ばれる方法が広く使われている。PPAP（パスワード付きzipファイルをメールで送り、別のメールでパスワードを送信する暗号化の手順（プロトコル））は、2016年頃に一世を風靡した同名の動画楽曲にかけて命名されたと言われるメールの送信方法で、誤送信による情報漏えいを防ぐ方法として知られてきた。

メールソフトと連動してパスワード付きzipファイルを自動作成、パスワードの自動送信をするサービスなどもあり、多くの企業で利用され、普及しているとみられる。

PPAP（パスワード付きzipファイル送信）を政府が廃止決定

しかし、2020年11月、平井デジタル改革担当大臣は、内閣府と内閣官房でのPPAP廃止を発表した。この決定は、政府が9月に予定しているデジタル庁設置に伴いデジタル政策を募った「デジタル改革アイデアボックス」に、PPAPの問題点を指摘する声が多く寄せられたことに対応したものと報道されている。

（1）ファイルをスキャンする監視システムは、パスワード付きzipファイルを解凍できない。そのため、業務に関するパスワード付きzipファイルになりすましたマルウェア（悪意のあるソフトウェア、ウイルスなど）攻撃が実際に報告されている。

（2）zipファイルは暗号強度が弱く、パスワードが短時間で解読されることが明らかになっている。（3）については、パスワード付きzipファイルが攻撃者に奪取された場合、同じ通信経路で送信しているパスワードも同様に奪取されることが予想され、情報セキュリティ対策にならないと言える。

PPAPは、メールを送る側が他の方法に変えなければならないので、廃止には時間がかかるとみられている。しかし、安全性が低いのであれば早晩使われなくなるのが自然な流れと考える。ビジネスでは、メールを送った顧客や企業のネットワークセキュリティのリスクを高めることになるので、早期に変更されることが望まれる。

平井デジタル改革担当大臣は、代替策は決まっていないと述べており、民間企業の対応や前述の「デジタル改革アイデアボックス」を参考にして検討するとしている。ネット上でも様々な代替策が取り上げられているが、メリット・デメリットがあり解決方法はまだ見えていない。

ファイルを安全に共有する方法としては、クラウドストレージの利用が適しているとの意見が多くみられる。クラウドストレージは、クラウド上にファイルを保存し、そこに受け手だけがアクセスできるようにすることで安全性を高めることができる。ただし、新たな環境の導入が必要なためコストや時間がかかり、導入の敷居はまだ高いとみられている。

デジタル・ワーク対応の社会的必要性からDX関連企業が注目される

コロナ禍によって加速したデジタル・ワーク環境だが、今後はこの環境に対応することが必要不可欠。デジタル化が進む中で、モノに対して求められてきた安全性が、情報に対しても求められはじめており、より安全に情報を共有できるサービスに注目が集まると考えられる。DX（デジタル・トランスフォーメーション）によってPPAPに代わり広く利用されるサービスが生まれれば、大きなビジネスチャンスになると思われる。

デジタル・ワークや情報セキュリティの重要さを認識しながらも、新たな環境に四苦八苦して働く者の一人としては、メールでファイルを送るたびに16桁以上の英数文字記号の大文字小文字のパスワードを作り、それを電話で連絡する、などというようなことにならないよう、DXによる効率的な方法が普及することを願っている。

■クラウドセキュリティは有望分野

こうした状況下、情報セキュリティ業界で大きな変化が起こっていることはご存じだろうか。これまでは、例えば企業の情報セキュリティでは、ファイヤーウォールを設定し、eメールやインターネットの閲覧などを監視するのが一般的だった。

しかし、クラウド化の進展や情報ネットワークへのアクセスの多様化、新しいウイルスの頻繁な出現やネットワークへの侵入手口の高度化などによって、これまでのファイヤーウォールでは対応が難しくなってきている。また、データ量の大容量化やメール件数の増加から、ファイヤーウォールを通しているとネットワークの動きが遅くなってしまうとの問題点もある。

こうした新しい流れに対応するのがクラウドセキュリティという考え方で、米国を中心に急速に普及してきている。これは、どの場所からでも情報ネットワークにアクセス可能で、日々現れるウイルスや新しい不正アクセスへの対応の早さが大幅に改善されるという特徴がある。

クラウドセキュリティの需要は急激に拡大しており、高い成長が見込まれる情報セキュリティ業界の中でも特に成長性が高く、今後も大きく伸びることが期待できる有望分野だと考えられる。

出典元：三井住友DSアセットマネジメント株式会社

構成／こじへい