目次

もうひとつの「PPAP」

セキュリティのほうの「PPAP」とは

PPAPを推進するか、廃止するか

JIPDECとプライバシーマーク

「PPAP」対策いろいろ

最後に

もうひとつの「PPAP」

今回のテーマは、セキュリティの「PPAP」です。昨年2020年後半ぐらいから、セキュリティ業界を中心に「PPAP」に対する議論(*1)が巻き起こっています。「結論、『PPAP』って駄目」と一概に斬るのは簡単ですが、経緯などについても語りたいと思います。

セキュリティのほうの「PPAP」とは

「PPAP」といっても、何それ　という方も多いと思います。一番有名な「PPAP」(*2)は、ピコ太郎の「PPAP」ですが、それとは違います。その楽曲タイトルをもじったネーミングのものです。そして、セキュリティの「PPAP」とは、「パスワード付きのzipファイルをメール送信し、後送でパスワードを送信する」というアクションをいいます。

• ・Password付きのzip暗号化ファイルを送信
• ・Passwordを送信
• ・Angou化（暗号化）
• ・Protocol（プロトコル）

上記の単語の頭文字を取って、「PPAP」と命名(*3)しています。そして、この「PPAP」メールの受信者が、そのメール（と添付ファイル）を受信し、同じプロトコルで別送されたパスワードで添付ファイルを解凍する、というアクションも含めて「PPAP」問題と定義することが多いです。
「ん？　メールの添付ファイルを「暗号化」して、送付することが何でセキュリティ的に駄目なの？」
「『暗号化』しているから、セキュリティ面でプラスにはなっても、責められることないのでは？」
という意見もあると思います。
さらに、暗号化されたファイルとそのパスワードを別送することにより、宛先間違いを気づくことができる、というメリットもあるらしいです。宛先間違いのメール送信を日常的に行っている人にとっては、福音のような方法です。「さきほどのメールは、誤送信のため、破棄してください」(*4)のメールの件数が減るかもしれません。

さらに、「PPAP」について調べますと、実は

• １．セキュリティ対策をしているように見えるが、あまり効果のない対策になっている
• ２．受信者としては、別送のパスワードで解凍する手間が面倒
• ３．同じ経路での暗号化対象物とパスワードの送付は、外部からの攻撃者にとっては同一
• ４．zip化＋暗号化により、ウィルス対策ソフトのウィルス感染発見が遅延・困難

などの批判があります。
１．３．４．はセキュリティ面での課題、２．は利便性の問題です。
実際に、PPAPメールを受信している立場としても、解凍がかなり面倒だし、「暗号化する必要もない」もの（＝非重要ファイル）の暗号化は、正直「頭使っていないよね」(*5)という感想しかありません。また、４．については、前回少し述べましたが、Emotetがメールの添付ファイルを契機にしているものだったため、悪目立ちしたこともあります。
そして、本体とパスワードの別送という形式による宛先違いの検知ですが、どうみても後付けの理由です。①添付ファイルを送った後、②そのままReして、パスワードを送る、というオペレーションが普通だからです。いちいち宛先を再入力はしないでしょう。誰が考えた理由なんでしょうかね。メールを送ったことがないのでしょうか？　あ、①メール送付、②宛先不明エラー、③宛先変更して送付、というパターンや、間違えて送ってはいけないファイルを添付というケースもありますか。

PPAPを推進するか、廃止するか

この「PPAP」について、2020年11月26日に、平井デジタル改革担当大臣が、内閣府・内閣官房を対象に、廃止する方針を発表しました。逆に言うと、それまでは上記の部署では使っていた、もしくは推奨されていたということですね。
そして、いろいろな企業の方々とメールのやり取りをしていてなんとなく気づいたのですが、PPAPの利用企業は、大企業（特に金融業など）やお役所が多い気がします。いくつか理由があると思います。

　・お役所対策や入札対応で、自社セキュリティ面での施策として、メールの暗号化を実施してますよ、とのアピール
　　　　　　↓
　・しかし、社員数が多い、社外への処理送付などの件数が多いため、手作業での暗号化＋パスワード送付が面倒
　　　　　　↓
　・なので、メール送信時に自動的に暗号化＋送付先へのパスワード（それも半角英数大文字小文字と記号を混在）を行うソフトを一斉導入(*6)
　　　　　　↓
　・完璧！
　　　　　　↓
　・いったん導入すると、なかなら変更がしづらいというお役所的・金融機関文化

という流れ。いちいち、手作業で添付ファイルの暗号化とパスワード送付なんてしてませんし、そのような処理を行うソフトは多々あります。さらに、大手企業などですと、ベンダーがしっかりと、その手のソフト導入＋メールサーバ機器更改などをご提案することになるでしょう。一つ一つは小さな火ですが、二つ合わされば炎となります(*7)。支店やら子会社で一斉導入すれば無敵になります。 図表10-1 暗号化添付ファイルの送信実績

JIPDECとプライバシーマーク

この「PPAP」が普及した経緯などについては、変な通説がありました。JIPDEC(*8)が認定している「Pマーク取得がしやすい」という話です。
この風評に対し、JIPDECは、「以前から推奨していない」という見解を示しており、否定しています。
この噂が本当かどうかは不明ですが、火のないところに煙は立たないとの話もあります。図表10-2のアンケートでも、しっかりとセキュリティのために実行しているというより、「Pマーク取得」「他がやっているから」「ISMSの取得」の総数もやや多いようです。

社員Ｐ「当社でもプライバシーマークを取りたいんですよね」
上司Ａ「なんだ、そのプライバシーマークって」
社員Ｐ「よくわからないけど、いろんな会社が取得しているらしいです。名刺にマークがついていると、他社よりセキュリティが強いとアピールできます」
上司Ａ「よし。取って損はないならば、取りに行こう。ライバル会社に差別化だ」
　　　しばらくして
社員Ｐ「（ドヤ顔で）Ｐマーク取得の必殺技があります」
上司Ａ「なに?」
社員Ｐ「メールのセキュリティを高めるために、暗号化して、パスワードは別に送らないといけないらしいです。この対策が必須です」
上司Ａ「面倒じゃないのか」
社員Ｐ「ソフトを入れれば簡単です。それに、マーク取得企業はすべて対応しています！」
上司Ａ「仕方ない。導入するしかないか」
社員Ｐ「近年増加している情報漏えいに対する施策として、全社にメールの暗号化ソフトを導入、という企画書を上げます。承認をお願いします」

いろんな会社や組織で交わされた会話です。思いっきり勘違いしている用語も混じっています。 図表10-2 PPAP実装の理由

「PPAP」対策いろいろ

さて、「PPAP」ですが、前述の2020年11月の平井大臣の発言を契機に、いろいろな会社で禁止する動きがでています。例えば日立製作所では2021年からPPAPの全面禁止を検討（社内規定で禁止）、NTTデータグループでは電子ファイルの授受はメール添付ではなくファイル共有サービスなどの利用を推奨、日本IBMではそもそもPPAPの利用をしていない、という話です。このように、社内的・組織的に禁止する動きもありますが、止めることが難しいケースもあります。 図表10-3 暗号化添付ファイルの検討可否
図表10-4 暗号化添付ファイル禁止できない理由

取引先（メール送付先）がPPAP推奨の場合とか、切り替えたいが、適切な代替案がない場合などです。図表10-5に代表的な対策・代替策をあげてみました。

図表10-5 代表的な代替案

オンラインストレージなどを利用して、添付するファイルをダウンロードさせる、という形式のサービスが多いようです。
また、「パスワード付きzip添付メール問題を考える」でのアンケートでもWebダウンロードやクラウドストレージ形式が圧倒的に多いようです。

図表10-6 暗号化添付ファイルの代替案

ベンダーにとっては、そのような新しいサービスを提供することは、ビジネスにも繋がります。しかし、利用者にとっては、どのサイトにアクセスするか？　そのサイト自体がセキュリティ面で問題がないのか？　サイトがトラブったときにどうするのか？　など、システム管理者が考えなくてはならない課題は多々ありそうです。
それより、なんでもかんでも添付ファイルを暗号化することが問題ではないでしょうか。そのような「頭を使っていない」オペレーションが課題であって、本当に流出してはまずいもののみ、暗号化すれはよい、と思います。でも、単なるユーザーや利用者はそんなこと考えないんですよね。そもそも何を基準に「暗号化」しなくてはいけないかが恣意的・本人任せとすることが多いです。

最後に

今回は、「PPAP」問題について語ってみました。コラムの大枠を書いた後、再度「パスワード付きzip添付メール問題を考える」のアンケートを確認したところ、このコラムで書いたほとんど論証について、アンケート結果が書かれており、「PPAP問題」への理解の深さ・問題意識の高さに感心しました。「PPAP」問題は、セキュリティ＆メール＆添付ファイル＆暗号化＆別送というかなり狭いカテゴリの問題なのですが、問題意識を持って考えると、ここまで深くセキュリティ問題・課題について考察できるという楽しい事例です。経営者などにとっては、「PPAP」問題は「たいした事ない」といわれるようなものかもしれません。しかし、この問題を完全に対応・対処するには、代替案の検討、添付ファイルの重要性の切り分け、それでも流出・ハッキングされた場合の対応案の検討、さらにコミュニケーション手段としてのメールとその他のツールの使い分けなどのルール決めや利用者への教育などが必須になってきます。時間がかかりますし、会社・組織で一斉に完全対応するのは、難しい課題です。少しずつ、一歩一歩、意識や文化を変えていくことが大事なのかもしれません。
では良き眠りを（合掌）。

「あったかいふとんで、ぐっすりねる！こんな楽しいことがあるか」by野比のび太