【貴社が行うべきPPAP対策】脱パスワード付きzip運用のススメ

従来の働き方改革にコロナウイルスによるテレワークへの移行が重なり、企業はニューノーマルに向けた業務改革が喫緊の課題となっています。
最近では脱ハンコ文化に向けた取り組みが記憶に新しいでしょう。「デジタルトランスフォーメーション」と銘打ったデジタル化の波は官民連携で刻一刻と進んでいます。
デジタル化によって生産性向上に寄与することが期待されている反面、懸念するべきは「セキュリティ」の問題です。
本記事では、平井卓也デジタル改革担当大臣が11月17日の定例会見で述べた「メールに添付するパスワード付きzipファイルの廃止」について、

・なぜ廃止するべきなのか
・企業に求められる対応は何なのか

に焦点を絞って解説していきます。
高いレベルのセキュリティを担保した上でスムーズにファイル共有を行いたいと考えていらっしゃる情報システム部担当者様必見です。

「いますぐ具体的な改善方法を知りたい方」は下記資料をダウンロード

脱パスワード付きzipにDirectCloud-BOXが欠かせない理由を具体的な機能と共に説明しています！

パスワード付きzipファイル(PPAP)とは

改めておさらいしますと、パスワード付きzipファイルとは社内・社外とファイル授受を行う際に、対象となるファイルをzip形式に圧縮後暗号化し、パスワードは別のメールで送付する方法です。
これは、今ではごく一般的なファイル共有方法であり、日本企業のビジネスにおける慣習としてすっかり定着しています。ITコンサルタントの大泰司章(おおたいしあきら)氏はこれら一連のプロセスを「PPAP」と揶揄しています。

古くからの日本の慣行を「プロトコル」と揶揄するのは非常に粋ですよね。一昔前までは、ファイル共有におけるセキュリティリスクを低減させる方法として認知されていました。
しかし、多くの専門家はパスワード付きzipファイルでの運用では本質的なセキュリティ解決策にはなり得ないと警鐘を鳴らしており、ついに国が抜本的な改革に乗り出したのです。

無意味な慣習によるパスワード付きzipファイル運用(PPAP)はあなたを苦しめます

平井卓也デジタル改革担当大臣が11月17日の定例会見で「26日からパスワード付きzipファイルの添付を内閣府、内閣官房で廃止する」旨を発表しました。
脱ハンコ文化に次ぐ国直々の発表ということもあり、今後の動向が気になっている方も多いかと思います。
そもそも、送信方法が煩雑で面倒でありセキュリティリスクもあると分かっていたにもかかわらず、なぜ日本の組織から無くなることがなかったのでしょうか。 考えられる理由は以下の3つでしょう。

パスワード付きzipファイル運用(PPAP)が日本組織から撤廃されない理由

まず、パスワード付きzipファイルを誤送信してしまっても、後続のパスワード通知メールを送付する前に気づけば、開封されてしまうリスクを低減することができるのが大きな理由でしょう。
また、個人情報保護体制の基準への適合性を評価する規格である「プライバシーマーク」や、情報セキュリティ管理策のガイドライン規格である「ISMS」において、審査基準にパスワード付きzipファイルに対する取扱いが規定されているため、現状維持を選択しているというケースも考えられます。
例えば、プライバシーマーク審査団体である「一般社団法人情報サービス産業協会(JISA)」では下記のように明言しています。

“ 【第23条】個人情報を含む添付ファイルを取扱う際に、セキュリティ対策（データの暗号化、パスワード設定など）の措置を講じることを新たに追加した。”

そして何より、ファイルをzip暗号化して送付することは日本企業における慣行(＝常識)になっているため、新しい運用方法を取り入れることに抵抗感が拭えないことも挙げられます。特に周囲との協調性が求められる日本企業なら尚更でしょう。
PマークやISMSの認定を目的としているのであれば仕方のない部分ですが、誤送信に気づかなかった場合を含めセキュリティ上無意味だと分かりつつも、周囲に同調し仕方なくやっていることは問題だと言えます。

パスワード付き
zipファイル運用(PPAP)の
危険性

パスワード付きzipファイル運用のセキュリティに対する間違った解釈や、運用方法を変更することに抵抗感があるのは事実です。 しかし、同時にあなたはこのような悩みを抱えていませんか。

・パスワード付きzipファイル運用はセキュリティ上問題があると聞き心配
・パスワード付きzipファイルの送信方法が煩雑で面倒
・ファイル共有の際に誤送信してしまいそうで心配

確かにセキュリティ上の脆弱性を放置していると気が気でならないですよね。
それでは、改めてパスワード付きzipファイル運用におけるセキュリティ上の危険性はどこにあるのか洗い出していきたいと思います。

考えられる理由は以下5つです。

パスワード付きzipファイル運用のセキュリティリスク

総当たり攻撃や専用ソフトウェアで解読されてしまう可能性がある

一通目の送信後に誤送信であると気づいた場合でも、zip暗号化する際に設定したパスワードが分かりやすい文字列・数字の羅列だった場合、可能な組み合わせをすべて試す「総当たり攻撃」により解読されてしまうリスクがあります。
また、例えば圧縮解凍のソフトウェア「Lhaplus」などには総当たり攻撃と同じ方法でパスワードを解析する機能があるので、パスワードをかけたからといって万全であるとは言えません。

・図1：Lhaplusの「ZIPパスワード探索」機能

他にも「PikaZip」などのフリーソフトウェアを用いれば、簡単にクラッキングすることができてしまいます。これは本来、自分でかけたパスワードを忘れてしまった際、zipファイルを開封することを目的とし提供されていましたが、これを悪用することもできてしまうのです。

マルウェア「Emotet（エモテット）」が仕込まれた添付ファイルの温床になる

最近急増しているマルウェア「Emotet」をご存知でしょうか。
Emotetとは、情報を不正に窃取するウイルスのことです。Emotetはパスワード付きzipファイルを開いたときに感染するのではなく、フォルダに格納されているファイルを立ち上げ、編集を有効化することで悪意のあるマクロが起動する仕組みになっています。

・図2：Emotetへの感染を狙う攻撃メールの例

［引用元］https://www.ipa.go.jp/security/announce/20191202.html

emotetの厄介なところは、連鎖的な標的型攻撃に活用されてしまう点です。攻撃者がemotetにより不正に入手した氏名・メールアドレス・メール内容を用い、あたかも取引先から返信してきたかのように装うことで、別のターゲットに対してemotetを組み込んだzipファイルを開封させ感染させてしまうのです。
メールサーバー側のウイルス検知システムはパスワード付きzipファイルに対するセキュリティチェックが正常に機能しないことがあるため、その弱みに付け込むことでEmotetの温床となっているのが実情です。
これまで述べたセキュリティリスクは送信側のリスクとして述べていましたが、Emotetによる被害は受信者側のリスクであると言えます。
また、自身のパソコンがマルウェアに感染していることに気づかずに、マルウェアが付着した添付ファイルを相手に送ってしまう可能性もあります。つまり知らない間に攻撃者になってしまうリスクもあるのです。

パスワード付きzipファイル運用の危険性を分かりつつも、それを放置しまっている現状を変えないことには、いくらリスクを理解したところで何も変わりません。

もう、無意味な慣習は終わりにしませんか？

あなたの会社が変えるべきタイミングは今です。

＼ たった1分の簡単登録 ／ 登録後はすぐに全機能をお試しいただけます!

脱zipに向けたファイル共有ツールを
今すぐ無料トライアル

無料トライアル期間終了後は自動解約となり、料金の自動発生はありません。

パスワード付きzipファイル運用(PPAP)のセキュリティリスクに有効な対策

このように、パスワード付きzipファイル運用は必ずしもセキュリティが万全であるとは言えないことをご理解いただけたかと思います。
それでは、社内外でセキュアかつ快適にファイル共有を行うためにはどうすれば良いのでしょうか。
そこで、PPAP対策となり得るのが「クラウドストレージ」です。
なぜなら「zipファイル添付自体を無くすことができる」からです。ファイルはすべてクラウド上で一括管理されるため、メール送受信におけるセキュリティリスクを回避することができます。
弊社では下記の手順でクラウドストレージに切り替えることをおすすめしています。

今すぐクラウドストレージへ全面移行することに不安を覚える方もいらっしゃるかと思いますので、まずは社内におけるセキュリティポリシーを整備するところから始めましょう。セキュリティポリシーを明確化することで、クラウドストレージを選定する際の基準にもなります。
最終的にはメールを送信するまでのプロセスをワークフローとして整理し、適切に社内展開することで定着化を図ることができます。
ワークフローを作成する上で欠かせない要素がS/MIMEによるメール本文の暗号化でしょう。S/MIMEとは暗号化方式のひとつで、メールに電子署名を付加することで、なりすましやメールの改ざんを防止します。
またzipファイルに設定するパスワードを複雑にすることも、総当たり攻撃への対策となるので効果的です。パスワード通知はメールではなく電話やチャットツールで伝えると良いでしょう。

これらの情報を元に一例としてワークフロー化すると下記のようになります。

社内のセキュリティポリシーを明確化したら、段階的にクラウドストレージに移行しましょう。本記事でおすすめしたいのが、ファイルの機密度と利用人数を数値化した後に乗算し優先順位をつける方法です。
例えば、以下の例を見てください。

上図より優先してクラウドストレージに移行するべきはプロジェクトBだと分かります。優先順位を決めて、機密性や規模などを鑑み全面移行をゴールに据え、徐々に導入範囲を拡大していきましょう。

■具体的な移行方法(データマイグレーション)については、下記で解説しています！
【完全解説】社内ファイルサーバをクラウドストレージに移行する手順

脱パスワード付きzipにかかる「費用」「手間」の課題を一挙に解決できる方法をまとめた資料をご用意しました！

前述の通り、脱パスワード付きzipを実現するためには「社内体制の整備」や「クラウドストレージへの移行作業」など取り組む内容が多岐に渡り、その分手間が発生してしまいます。

「データ移行に割くリソースや時間は正直ない。利用人数の急激な増加によって費用が嵩んでしまうのもイヤ。」

そこで弊社では、これらの課題を一挙に解決できるDirectCloud-BOXの活用方法を資料にまとめました。
貴社の全社的なセキュリティ向上のため、ぜひご活用いただきたい内容となっていますので、ご一読いただければ幸いです。

脱パスワード付きzipのヒントをギュッと凝縮！

「費用」「手間」の課題を一挙に解決

まとめ

いかがでしたでしょうか。
パスワード付きzipファイル運用は日本企業ではすっかりと定着しており、脱却するのは難しい現状にありますが、セキュリティの観点からは万全とは言えません。
ファイル管理においてセキュリティの担保は必須であり、利便性を同時に高めるためにはクラウドストレージを活用した対策がおすすめです。
あなたもこの機会にクラウドストレージ導入を検討してみてはいかがでしょうか。

■法人向けクラウドストレージの比較記事をチェックする！
・クラウドストレージは何を基準に選ぶべき？導入メリットと実際の製品を徹底比較
・超脱却!PPAP問題 パスワード付きzipファイル送信の脱却＋業務効率・セキュリティアップの代替案！