秘密分散 フォー メール
2020年11月、平井卓也デジタル改革相が中央省庁でPPAPを廃止する方針を示しました。官庁に続く形で民間企業でもPPAPの廃止検討が始まっています。
日本で「PPAP」と呼ばれているこのセキュリティ運用ルールについて、名前の由来からその問題点、代替手段を見ていきましょう。
※本記事に掲載している情報は2021年3月時点のものです。
秘密分散 フォー メール
カンタン・便利なのに高いセキュリティ
Outlookメールでの情報漏えいリスクを防ぎます。
コロナ禍による影響でテレワークが今まで以上に広く普及し、オンラインでのファイルのやり取りはもはや当たり前のものとなっています。
オンラインファイル共有は時間がかからず、手順も単純であることから日常的に利用されていますが、その一方で課題もいくつか存在しています。セキュリティ対策はその課題の一つであり、そのルールの一つに「PPAP」と呼ばれているものがあります。
「PPAP」とは、電子メールを用いたファイル共有におけるセキュリティルールの一つです。「パスワード保護したZIPファイルを送信後、その解凍パスワードをあとから別送するメールで連携する」という一連の流れがPPAPと呼ばれています。
このPPAPという略語は、以下の頭文字を取っています。
PPAPのメリットは以下の3つと考えられていました。
前述したように、現在ではPPAPの多くの問題点が指摘されています。中にはマルウェアの拡大を助長してしまうようなものもあり、知らないうちに自分が加害者になってしまっていた、という可能性もゼロではありません。
また、セキュリティリスクを高めるものだけではなく、生産性を下げてしまうこともあります。
具体的にどのような問題点があり、どういった理由で問題なのかを確認してみましょう。
以前までは「PPAPはファイルとパスワードを別送することでセキュリティ強度を高めている」という認識がありましたが、これは誤りです。
電子メールの仕組みとして、送信者が送ったメールは直接受信者の手元に届くわけではなく、複数のサーバーを経由して受信者の手元に届きます。
このサーバーが攻撃者によって盗聴されている場合、1通目／2通目両方のメールを確認できる状態である可能性が高く、こうなってしまうとファイルとパスワードを別送するメリットは失われてしまいます。
その他のメール流出原因として、アカウントが漏えいした場合なども考えられますが、こちらも両方のメールを確認できてしまうので意味をなしません。
誤送信以外で1通のみ流出するという可能性は低く、誤送信の場合は本文やファイル名は平文なので、情報流出を完全に防ぐことはどちらにせよ難しいといえるでしょう。
パスワードを指定してZIP圧縮すると、パスワードを知る人以外はファイルの中身を確認できないという前提のもとでPPAPが利用されてきました。しかし、ZIPファイルの安全性には大きく2つの問題点があります。
1点目は、フォルダ構造やファイル名はパスワードを知らなくても確認できてしまうという点です。
複数のファイルを圧縮して一つのZIPファイルにまとめることができますが、実はパスワードを知らない場合でもZIPファイル内にどんな名前のファイルが入っているかは、特殊な手段も必要なく確認できてしまいます。
もし、ファイル名に顧客名でも入っていた場合は、パスワードが分からなくても個人情報の流出につながります。2点目は、ZIPファイルのパスワード試行回数に制限がないという点です。
回数制限がないということは、機械的にパスワードを生成して試行し続けることで、パスワード解析できてしまいます。このような試行ツールは特に特別なものではなく、インターネットでダウンロードすれば誰でも入手可能です。
ZIPファイルのパスワード文字数は99文字が上限ですので、文字数を増やしたり記号を織り交ぜたりすれば解析にかかる時間を延ばすことはできますが、根本的な対策にはなりません。
前述したように、電子メールは送信者から受信者のもとへ届く間に複数のサーバーを経由します。この複数のサーバーのうちの一つで、添付ファイルにマルウェアが仕込まれていないかのチェックが行われるのが一般的です。
しかし、パスワード付きZIPファイルの場合、まずパスワードの解析をして解凍してから中身のファイルのマルウェアチェックを行う必要があります。
パスワード解析が必要になってくる関係上、パスワード付きZIPファイルのマルウェアチェックは技術的に難しく、チェックを行わずにユーザーの手元に届いてしまっているのが現状です。
マルウェアが仕込まれたメールは、取引先などを騙ったものが多く、その手口や文面も非常に巧妙化しています。一見するとZIPファイルの問題に見えますが、こういったメールに対して「怪しい」という意識を持たなくなってしまう点が一番の問題といえるでしょう。
1度のやり取りで、送信者は2通のメールを送信する必要があり、受信者も2つのメールを確認する必要があります。
1日1回のやり取りであれば負担にはなりませんが、互いに1つのファイルを編集するなどしてメールの応酬が続くようであればこういった手間を軽視することはできません。
また、受信してから時間が経った添付ファイルを確認する場合、適切にメールの振り分け設定をしていないとパスワード記載メールを探し出すのにも時間がかかってしまいます。
現在では、外出先でスマートフォンによるメール確認を行うことも珍しくありません。添付ファイルの確認をしたい時もあるかと思いますが、パスワード付きZIPファイルの場合はOSのバージョンが古いと標準機能でZIPファイルを解凍できないことがあります。
そういった場合は専用のアプリケーションをインストールする必要があり、そのアプリケーションの安全性の調査や、最新化の徹底、脆弱性調査などが必要になり、企業側の運用負荷も高まってしまいます。
PPAPに多くの問題点があることがわかりましたが、なぜ2021年になってPPAPが注目を集め、大きな話題になったのでしょうか。
国内での動きを追いつつ、海外ではどういった状況なのかもあわせて確認します。
2020年11月、平井卓也デジタル改革相が中央省庁でPPAPを廃止する方針を示しました。この背景には、国民からデジタル改革のアイデアを募る「デジタル改革アイデアボックス」にPPAPの廃止を求める意見が集まったことがあります。
これに続くように2021年1月、日立製作所が同年度よりPPAPを社内で禁止することが明らかになり、国内で大きな話題となりました。こういった動きを皮切りに国内の多くの企業がPPAP廃止の意向を示しています。
また、メールに添付したZIPファイルを自動で暗号化するツールの提供を中止したり、メールでのZIPファイル受け取りを拒否する方針を示す企業も現れたりと「PPAPをしない」だけでなく「PPAPをさせない」動きも活発化しています。 しかし、こういった動きが進む中でもPPAPはまだまだ利用され続けているという実態があります。
国内でPPAPが利用され続けている原因の一つとしては、官民で広く使われ、日本社会に深く根付いてしまったことが考えられます。
PPAPが採用され始めた時期については定かではありませんが、Pマーク（プライバシーマーク）やISMS（情報セキュリティマネジメントシステム）といった情報資産管理規格の認証を取得するためにこぞって企業が採用し始めたという経緯があります。 ただしPマークの認証団体であるJIPDEC（一般財団法人日本情報経済社会推進協会）はPPAPを以前から推奨していない旨を公表しており、こういった認識も誤っていたということがわかっています。
日本社会に根付いているPPAPですが、海外ではどうでしょうか。
実は海外ではメールでZIPファイルを共有する文化は浸透しておらず、メールで送られてきたZIPファイルはセキュリティリスクが高い、という認識が広まっています。
昨年の10月には、世界的に有名なマルウェア「Emotet」の被害拡大を受けて、CISA（米国土安全保障省 サイバーセキュリティ・インフラセキュリティ庁）がZIPファイルが添付されたメールは受信せずにブロックするよう推奨しています。
PPAPを廃止する企業が増えていますが、そういった企業はどのような方法でファイル共有を行っているのでしょうか。
ここからはPPAPに代わるさまざまなファイル共有手段を確認していきましょう。
1つ目は、SlackやTeamsをはじめとしたチャットツールです。
こういったチャットツールでファイル共有をする利点として、まずメールのような中継サーバーがないので盗聴されるリスクが低減します。
サーバーについては、あくまでサービス運営側が管理するものなので危険性がゼロになるわけではありませんが、その危険性は自社でメールサーバー管理を行った場合も同様といえるでしょう。
また、このようなチャットツールにはコミュニティやワークスペースという機能があり、管理者により招待されたメンバー間だけでメッセージやファイルのやり取りができるように設定できるので、悪意のある攻撃者による無差別なマルウェア送信も事前に防ぐことが可能です。
2つ目は、OneDriveやDropboxなどのオンラインストレージです。
オンラインストレージは、クラウドサーバー上にストレージを作成し、その中に複数のフォルダやファイルをアップロードできます。ファイルをアップロードするとURLが生成され、そのURLにアクセスすればファイルをダウンロードできます。
このURLはファイルを更新しても変更されないので、更新ごとの連絡は必要なくなるでしょう。サービスやファイルの種類によっては、Google Chromeなどのウェブブラウザ上でファイルを編集できるのも大きなメリットです。
ただし、このURLが外部に流出すると外部の人間がファイルを参照できてしまう恐れがあるので、ファイルのアクセス権限を事前に適切に設定する必要があります。各サービスのプランによってはIPアドレスによるアクセス制限も可能です。
3つ目は、ファイル転送サービスを利用したファイル共有です。
ファイル転送サービスは特定のファイルをアップロードし、生成されたURLからファイルをダウンロードできます。これだけですとオンラインストレージと同じですが、以下のような違いがあります。
双方でファイルをやり取りしたり共同編集するような場合ではなく、大容量のファイルを一方向に共有する場合はファイル転送サービスが選ばれることが多いです。
どうしても電子メールでファイル共有を行う場合は、いっそZIP圧縮せずに送信するというのも一つの手です。 一見すると無防備な状態に見えますが、PPAPの問題点の一つである「メールサーバーでのマルウェアフィルタをすり抜けてしまう」という問題はこれで解消できます。
メールが盗聴されてしまった場合にファイルも盗み見られてしまうというデメリットはありますが、ZIP圧縮した場合もパスワード解析されるデメリットがあるので、この点は変わらないといえるでしょう。
Gmailのようなウェブメールを利用すれば、厳格なセキュリティルールのもとに管理されたメールサーバーを利用できるので、盗聴のリスクも軽減できます。
電子メールによるファイル共有手段としてもう一点、S/MIMEやPGPのような暗号化技術を採用するという選択肢があります。これらを採用すると、普段利用している電子メールの添付ファイルや本文を暗号化できるため、ある程度セキュリティを担保できます。
加えて電子署名もできるので、受信者は「署名のないメールはなりすましではないか」という疑いを持つこともできます。
ただし、これらには普及していないという大きなデメリットがあり、原因として導入の敷居が高いということがあります。
暗号化・復号・署名を行うには事前に認証された複数の「鍵」が必要で、これらの鍵を送受信者双方でそれぞれ厳格に管理する必要があるため、敷居が高いと考えられています。
今後もPPAPを廃止する企業が次々と現れ、ZIPファイルの受信をブロックする企業も少なからず現れるでしょう。そうなったときにまだPPAPを採用していると、業務に支障をきたす可能性も十分に考えられます。
必要に迫られてからではなく早めに代替手段の検討を始め、脱PPAPを推進していきましょう。
リモートワークが当たり前になり、オンラインでのファイル共有を行う頻度はこれからも増え続けていきます。
事業内容や扱う情報によって選択する代替手段も違ってくるので「とりあえずPPAP」のように思考停止で採用するのではなく、どのような特徴があり、自分たちには何が必要なのかを考慮して代替手段を検討しましょう。
※本記事における価格情報記載はすべて税抜表記です。
※Microsoft、Windows、Windows 10およびMicrosoftのロゴは、米国およびその他の国におけるMicrosoft Corporationの登録商標または商標です。
※その他、記載されている会社名、製品名は、各社の登録商標または商標です。
※ZENMU Virtual Desktopは、株式会社ZenmuTechの製品です。
※株式会社日立システムズエンジニアリングサービスは、ZENMU Virtual Desktopの正規販売代理店です。
このコラムをシェアする
