分かっていても進まない「脱PPAP」 根本的なリスクを取り除くには？：「暗号化ZIPとパスワード送付」の次の選択肢

進まない「脱PPAP」。実現のための手段をどう選ぶべきか。社内外にどう説明すべきか。PPAP継続のリスクや代替策の課題、導入のハードルなどを明確化し、自社に合った解決策を探る方法を解説する。

[ITmedia]

　第三者に盗聴されず、社外の関係者と情報共有したい――そうした目的で今なお企業が活用しているのが、暗号化ZIPファイルをメールに添付し、それに続くメールでパスワードを送信する「PPAP」だ。

　PPAPはメールの誤送信対策やセキュリティ対策として、日本の官公庁や企業をはじめとしたさまざまな組織が広く採用している。だが実はセキュリティ対策の実効性がないとの認識が広がってきた。それどころか暗号化によってマルウェア対策ソフトを擦り抜けるリスクがある。自動でパスワードを送信するシステムが普及したものの、誤送信対策として効果を発揮せず、もはやただの「儀式」となりつつある。

　受信者にとって暗号化ZIPファイルは、中身のマルウェアチェックもできず、スマートフォンで開封することも難しい。1つのファイルを解凍するために複数のメールを受け取ることは手間も掛かる上に、セキュリティ面の効果も期待できない。まさに「厄介者」だ。こうした背景から日本政府は2020年11月、内閣府と内閣官房でPPAPを廃止することを発表した。政府の発表を受けて、企業もそれに追随する動きが生まれているが、まだまだ進んでいないのが現状だ。

　IT担当者が頭を抱えるのが代替策の選定だ。エンドユーザーにとって、今までの手法からの大きな変更は望ましくない。有力候補として浮上しているオンラインストレージサービスやファイル共有サービスにもさまざまな種類があり、「まずどのような選定軸を持つべきか」というスタート地点が不明確な企業もある。PPAPの問題の本質を捉え、的確に課題を解決し、自社に合った解決策を選ぶにはどうすればよいのか。