秘密分散 フォー メール
「安全と思っていたパスワード付きZIPファイルにはセキュリティ面での問題があります。」
※本記事に掲載している情報は2021年3月時点のものです。
目次
秘密分散 フォー メール
カンタン・便利なのに高いセキュリティ
Outlookメールでの情報漏えいリスクを防ぎます。
パスワード付きZIPファイルとは、例えば取引先などへ送るデータにおいて、圧縮されてパスワードが設定されているファイルのことです。
データを送りたいときに、ZIPファイルをPC等で作成して、パスワードを設定する（暗号化）という流れで生成されます。
この方法は、添付ファイルが暗号化されているため、従来は情報漏えいからデータを守るセキュリティ対策として認知されていました。
PPAPという単語をみなさんも一度は聞いたことがあるのではないでしょうか？PPAPとは、パスワード付きZIPファイルを作成し、パスワードを作成、その後パスワードを別送するという一連の流れのことを表す造語のことです。
1つひとつのアルファベットはパスワード付きZIPファイルを作ってデータを送るまでの作業を表していて、次のように意味が付けられています。
このPPAPという言葉は、揶揄（やゆ）表現であり、早く別の手段に移行しましょうという意味が込められています。
セキュリティ面の危険性が一部では認知されていたものの、他の手段も浸透しておらず、多くの企業・組織で根強く残っているセキュリティ運用ルールの1つです。2020年11月、平井卓也デジタル改革担当大臣のパスワード付きZIPファイル廃止の方針を示したことを受けて、ようやく別の手段に移行しようという流れが見えてきました。
ここでは、パスワード付きZIPの作り方について、Windows・Macごとにそれぞれ見ていきます。Windows8とWindows10では、Windowsの標準機能を使ってパスワード付きZIPファイルを作成することができなくなってしまいました。
WindowsOSでは、フリーソフトをインストールしてパスワード付きZIPファイルを作成する方法を紹介します。おすすめのソフトは「7-ZIP」というソフト。また、Macでは標準の機能でパスワード付きのZIPファイルを作成することができます。
はじめに「7-ZIP」を使ったパスワード付きZIPファイルの作り方を見ていきます。作成方法の流れは以下のとおりです。
では順に見ていきましょう。
■ダウンロードとインストール
まずは公式サイト（https://sevenZIP.osdn.jp/）からインストーラーをダウンロードします。64bit版と32bit版が選べるので、お使いのPCに合わせて選択しましょう。「設定」→「システム」→「バージョン情報」の順に選択することで、PCのbit数を確認できます。
ダウンロードに成功したら、ファイルを実行します。ダブルクリックか右クリックで開くメニューから実行してください。特に変更する必要はないので、「Install」を押してインストールしてください。途中で「この不明な発行元からのアプリがデバイスに変更を加えることを許可しますか？」というダイアログが表示されることがありますが、「はい」をクリックしてください。
■暗号化とパスワードの設定方法 インストールに成功すると、暗号化したいファイル・フォルダを選択して右クリックから出てくるメニューに「圧縮」という項目が追加されます。この「7-ZIP」はソフトを立ち上げる必要がないので、暗号化する前にソフトを直接起動するなどの操作はいりません。
暗号化したいファイルまたはフォルダを選択して右クリックから「7-ZIP」→「圧縮」の順に選択していきます。その後「アーカイブ形式」の項目で「ZIP」を選択し、「パスワード」、「パスワード再入力」の箇所にパスワードを入力してください。「OK」をクリックしてパスワード付きZIPファイルの作成は完了です。
Macでは、Windowsと異なり、ソフトをインストールする必要がありません。標準機能でパスワード付きZIPファイルを作成できるので、その方法を説明していきます。手順は次のとおりです。
では見ていきましょう。
■ファイルまたはフォルダの暗号化
暗号化したいファイルまたはフォルダを選択し、右クリックまたは2本指タップで開くメニューから、「“（ファイルまたはフォルダ名）”を圧縮」を選択します。これで、ZIP形式に変換することができました。
■「ターミナル」機能を使ってのパスワード設定
まずは「ターミナル」を開きます。ターミナルは、Launchpadを開き、アプリケーション一覧より選択します。見つからないときは検索窓で“ターミナル”と入力するとでてきます。
「Command」＋「Space（スペース）」を押すと呼び出せるSpotlight検索から“ターミナル”と入力することでも呼び出せます。ターミナルのウィンドウが開けたら、“ZIPcloak”と入力してください。
続けて半角のスペースを入れて、ターミナルのウィンドウにパスワードを設定したいZIPファイルをドラッグ＆ドロップしてenterを押してください。すると、“Enter password”と表示されるので、その後ろに設定したいパスワードを入力してください。
パスワードを入力すると“Verify password”と表示されるので、もう一度、先ほど入力したパスワードを入力してください。
これで、パスワード付きZIPファイルを作成することができました。ここでは、新しくパスワードを設定したZIPファイルができるのではなく、作成したZIPファイルにパスワードが設定され上書きされます。
2020年11月の平井卓也デジタル改革担当大臣による方針発表で、パスワード付きZIPファイルの廃止を推進する動きが企業や組織で見え始めていますが、いまだ完全に廃止することはできていません。
パスワード付きZIPファイルはなぜ完全に廃止されないのでしょうか？この慣習が撤廃されない理由は、次のとおりです。
パスワードを別送することで、添付ファイルがあるメールの宛先を間違えても、2通目のパスワードを送らずに中断することができます。気をつけていても宛先や添付するファイルを間違えていて焦った経験をお持ちではないでしょうか？
しかし、添付ファイルが開けないといっても、データの保守という点では不十分です。メールの本文の内容からデータが推測されてしまったり、解析ソフトなどでパスワードが解除されたりしてしまっては、元も子もありません。
企業によっては、プライバシーマークやISMSといった個人情報や機密保持の安全対策措置の審査基準を意識した結果、PPAPを導入しているところもあります。
しかし、PPAPを用いる場合は、充分長くて複雑なパスワードの設定や1通目と2通目の経路を変更するなどの対策も必要です。現在のPPAP運用では、充分なセキュリティ対策になっていないということになります。
セキュリティ面で不十分とわかっていても、取引先からパスワード付きZIPファイルとパスワードが別送されてくることは日常茶飯事という方も多いでしょう。
いまだPPAP運用を続けている企業が多いこと、また、組織レベルで他の方法に切り替えるのが大変というのもあってなかなか変えづらいというのが実情ではないでしょうか。
これまで長い間続いてきたパスワード付きZIPファイルによるデータ送付ですが、この方法にはいくつかの問題点があります。ここでは、パスワード付きZIPファイルの問題点について見ていきましょう。
問題点・危険性は次のとおりです。
そもそもPPAP運用を続けていては、メールの送信先を間違えてしまう可能性をゼロにはできません。1通目で気づく場合もあれば、2通目のパスワードを送ったあとに気づくケースも考えられます。
送信後に一定時間サーバー上に保持して、送信されない設定もありますが、気づけなければどちらにせよ、情報漏えいのリスクを完全に排除することはできません。
ZIPファイルにパスワードを設定しても、メールの本文は暗号化されていない平文のため、セキュリティの観点からは不十分といえます。
メールの本文からファイルの情報が読み取れてしまう可能性もあるでしょう。メールの本文も暗号化されるような運用に切り替える必要があります。
パスワードが単純な文字列だったり、数字のみの羅列だったりする場合には、可能な組み合わせを自動で試す総当たり解析によりファイルのパスワードが解読されてしまう可能性があります。
たとえば無料ソフトの「Lhaplus」はファイルの圧縮解凍用のソフトですが、総当たり解析の機能もあるため、手軽に誰でも総当たり解析を行えます。
ここでは、PPAPに変わるデータ送付方法を紹介していきます。みなさんの仕事環境に合わせて移行できないか試してみてください。
S/MIMEとは、電子メールのセキュリティを向上する暗号化方式の1つで、メールの電子署名とメールの暗号化を行うものです。これを用いることで、添付ファイルだけでなく、メールの本文も暗号化できるため盗聴防止の役割があります。OutlookやiPhoneのメーラーなど多くのソフトが対応しています。
最近では、メールではなくチャットツールを用いて連絡をすることが企業でも増えてきました。有名なものだと、SlackやTeams、Chatworkなどがあります。
また、クラウドストレージのみの機能を持つものだと、DropboxやOnedrive、Google Driveなどが有名です。これらを用いてファイル共有を行うこともできます。
しかし、送受信側がどちらも同じソフトを使える環境にしておくことが必要なため、導入するのに少々事前準備が必要です。
ファイル転送サービスを使ったデータ送付も可能です。この方法では、大容量のデータの送付も行えます。
データの送信者はインターネット上のサーバーに送りたいデータをアップしたあと、ダウンロード専用のURL等を受信者に送ります。受信者はそのURLからデータをダウンロードすることができます。また、ブラウザではなく、専用のアプリケーションを利用してデータの送受信を行うサービスもあります。
昨今では、PPAP運用のセキュリティ面の危険性が認知されてきています。万が一のときに取引先から信頼を落とさないよう、早めに別の方法へ移行することが望ましいといえます。
本記事を参考に、業務の特性や環境に合った導入しやすい方法でデータ送受信の方法について見直してみてはいかがでしょうか。
※本記事における価格情報記載はすべて税抜表記です。
※Microsoft、Windows、Windows 10およびMicrosoftのロゴは、米国およびその他の国におけるMicrosoft Corporationの登録商標または商標です。
※その他、記載されている会社名、製品名は、各社の登録商標または商標です。
※ZENMU Virtual Desktopは、株式会社ZenmuTechの製品です。
※株式会社日立システムズエンジニアリングサービスは、ZENMU Virtual Desktopの正規販売代理店です。
このコラムをシェアする
