【PPAPとは】パスワード付きzipファイルのセキュリティリスクと対応策

従来の働き方改革にコロナウイルスによるテレワークへの移行が重なり、企業はニューノーマルに向けた業務改革が喫緊の課題となっています。
最近では脱ハンコ文化に向けた取り組みが記憶に新しいでしょう。「デジタルトランスフォーメーション」と銘打ったデジタル化の波は官民連携で刻一刻と進んでいます。
デジタル化によって生産性向上に寄与することが期待されている反面、懸念するべきは「セキュリティ」の問題です。
本記事では、平井卓也デジタル改革担当大臣が11月17日の定例会見で述べた「メールに添付するパスワード付きzipファイルの廃止」について、

・なぜ廃止するべきなのか
・企業に求められる対応は何なのか

に焦点を絞って解説していきます。
高いレベルのセキュリティを担保した上でスムーズにファイル共有を行いたいと考えていらっしゃる情報システム部担当者様必見です。

パスワード付き
zipファイルとは

社内の規定などで、資料を添付する際はパスワード付きzipで送付していることがマニュアル化されている企業様も多いかと思います。
改めておさらいしますと、パスワード付きzipファイルとは社内・社外とファイル授受を行う際に、対象となるファイルをzip形式に圧縮後暗号化し、パスワードは別のメールで送付する方法です。
これは、今ではごく一般的なファイル共有方法であり、日本企業のビジネスにおける慣習としてすっかり定着しています。ITコンサルタントの大泰司章(おおたいしあきら)氏はこれら一連のプロセスを「PPAP」と揶揄しています。

古くからの日本の慣行を「プロトコル」と揶揄するのは非常に粋ですよね。一昔前までは、ファイル共有におけるセキュリティリスクを低減させる方法として認知されていました。
しかし、多くの専門家はパスワード付きzipファイルでの運用では本質的なセキュリティ解決策にはなり得ないと警鐘を鳴らしており、ついに国が抜本的な改革に乗り出したのです。

パスワード付き
zipファイルの添付が
日本の組織から
無くならない理由

平井卓也デジタル改革担当大臣が11月17日の定例会見で「26日からパスワード付きzipファイルの添付を内閣府、内閣官房で廃止する」旨を発表しました。
脱ハンコ文化に次ぐ国直々の発表ということもあり、今後の動向が気になっている方も多いかと思います。
とはいえ、もともとパスワード付きzipファイルでの運用はセキュリティリスクがあると分かっていたにもかかわらず、なぜ日本の組織から無くなることがなかったのでしょうか。 考えられる理由は以下の3つでしょう。

パスワード付きzipファイル運用が撤廃されない理由

まず、パスワード付きzipファイルを誤送信してしまっても、後続のパスワード通知メールを送付する前に気づけば、開封されてしまうリスクを低減することができるのが大きな理由でしょう。
また、個人情報保護体制の基準への適合性を評価する規格である「プライバシーマーク」や、情報セキュリティ管理策のガイドライン規格である「ISMS」において、審査基準にパスワード付きzipファイルに対する取扱いが規定されているため、現状維持を選択しているというケースも考えられます。
例えば、プライバシーマーク審査団体である「一般社団法人情報サービス産業協会(JISA)」では下記のように明言しています。

“【第23条】個人情報を含む添付ファイルを取扱う際に、セキュリティ対策（データの暗号化、パスワード設定など）の措置を講じることを新たに追加した。”

■参照元： https://www.jisa.or.jp/service/privacy/tabid/831/Default.aspx?itemid=31

そして何より、ファイルをzip暗号化して送付することは日本企業における慣行(＝常識)になっているため、新しい運用方法を取り入れることに抵抗感が拭えないことも挙げられます。特に周囲との協調性が求められる日本企業なら尚更でしょう。
②のようにPマークやISMSの認定を目的としているのであれば、仕方のない部分ですが、①のパスワード付きzipファイルで運用することにより「リスク低減に繋がる」というのはセキュリティの観点から不十分な考えであると言えます。

次項では、なぜパスワード付きzipファイルの添付がセキュリティ上危険なのかについて徹底解説していきます。

パスワード付き
zipファイルの添付が
危険な理由

パスワード付きzipファイル運用のセキュリティに対する間違った解釈や、運用方法を変更することへの抵抗感から、なかなか脱却できていないのが現状です。
それでは、パスワード付きzipファイル運用におけるセキュリティ上の問題点はどこにあるのでしょうか。

考えられる理由は以下5つです。

パスワード付きzipファイル運用のセキュリティリスク

総当たり攻撃や専用ソフトウェアで解読されてしまう可能性がある

一通目の送信後に誤送信であると気づいた場合でも、zip暗号化する際に設定したパスワードが分かりやすい文字列・数字の羅列だった場合、可能な組み合わせをすべて試す「総当たり攻撃」により解読されてしまうリスクがあります。
また、例えば圧縮解凍のソフトウェア「Lhaplus」などには総当たり攻撃と同じ方法でパスワードを解析する機能があるので、パスワードをかけたからといって万全であるとは言えません。

・図1：Lhaplusの「ZIPパスワード探索」機能

他にも「PikaZip」などのフリーソフトウェアを用いれば、簡単にクラッキングすることができてしまいます。これは本来、自分でかけたパスワードを忘れてしまった際、zipファイルを開封することを目的とし提供されていましたが、これを悪用することもできてしまうのです。

マルウェア「Emotet（エモテット）」が仕込まれた添付ファイルの温床になる

最近急増しているマルウェア「Emotet」をご存知でしょうか。
Emotetとは、情報を不正に窃取するウイルスのことです。Emotetはパスワード付きzipファイルを開いたときに感染するのではなく、フォルダに格納されているファイルを立ち上げ、編集を有効化することで悪意のあるマクロが起動する仕組みになっています。

・図2：Emotetへの感染を狙う攻撃メールの例

［引用元］https://www.ipa.go.jp/security/announce/20191202.html

emotetの厄介なところは、連鎖的な標的型攻撃に活用されてしまう点です。攻撃者がemotetにより不正に入手した氏名・メールアドレス・メール内容を用い、あたかも取引先から返信してきたかのように装うことで、別のターゲットに対してemotetを組み込んだzipファイルを開封させ感染させてしまうのです。
メールサーバー側のウイルス検知システムはパスワード付きzipファイルに対するセキュリティチェックが正常に機能しないことがあるため、その弱みに付け込むことでEmotetの温床となっているのが実情です。
これまで述べたセキュリティリスクは送信側のリスクとして述べていましたが、Emotetによる被害は受信者側のリスクであると言えます。
また、自身のパソコンがマルウェアに感染していることに気づかずに、マルウェアが付着した添付ファイルを相手に送ってしまう可能性もあります。つまり知らない間に攻撃者になってしまうリスクもあるのです。

パスワード付きzipファイルのセキュリティリスクを解消するための対応策

このように、パスワード付きzipファイル運用は必ずしもセキュリティが万全であるとは言えないことをご理解いただけたかと思います。
それでは、社内外でセキュアかつ快適にファイル共有を行うためにはどうすれば良いのでしょうか。
ここでは、社内のセキュリティポリシーを整備した上で順次クラウドストレージに切り替える方法をおすすめします。

具体的には下記の通りです。

今すぐクラウドストレージへ全面移行することに不安を覚える方もいらっしゃるかと思いますので、まずは社内におけるセキュリティポリシーを整備するところから始めましょう。セキュリティポリシーを明確化することで、クラウドストレージを選定する際の基準にもなります。
最終的にはメールを送信するまでのプロセスをワークフローとして整理し、適切に社内展開することで定着化を図ることができます。
ワークフローを作成する上で欠かせない要素がS/MIMEによるメール本文の暗号化でしょう。S/MIMEとは暗号化方式のひとつで、メールに電子署名を付加することで、なりすましやメールの改ざんを防止します。
またzipファイルに設定するパスワードを複雑にすることも、総当たり攻撃への対策となるので効果的です。パスワード通知はメールではなく電話やチャットツールで伝えると良いでしょう。

これらの情報を元に一例としてワークフロー化すると下記のようになります。

社内のセキュリティポリシーを明確化したら、段階的にクラウドストレージに移行しましょう。本記事でおすすめしたいのが、ファイルの機密度と利用人数を数値化した後に乗算し優先順位をつける方法です。
例えば、以下の例を見てください。

上図より優先してクラウドストレージに移行するべきはプロジェクトBだと分かります。優先順位を決めて、機密性や規模などを鑑み全面移行をゴールに据え、徐々に導入範囲を拡大していきましょう。

クラウドストレージ移行がパスワード付きzipファイル運用における有効なセキュリティ対策に
なり得る理由

では、なぜクラウドストレージに移行することがパスワード付きzipファイル運用における有効なセキュリティ対策になり得るのでしょうか。
最も大きな要因は「zipファイル添付自体を無くすことができる」からです。ファイルはすべてクラウド上で一括管理されるため、メール送受信におけるセキュリティリスクを回避することができます。
弊社の提供するDirectCloud-BOXは、パスワード付きzipファイル運用で発生するセキュリティリスクに対して下記の通り対策することができます。

DirectCloud-BOXは「利便性」と「セキュリティ」に磨きをかけたクラウドストレージです。利便性の一つである「スマートリンク機能」では、リンク1つで大容量ファイルを送付できるだけではなく、万が一誤送信してしまった場合に、リンクを無効化することで、ファイルの中身を確認されてしまうリスクを回避することができます。
しかし、「誤送信してしまった」と気づけない場合もあることから、リンクの無効化だけでは完全なセキュリティ対策であるとは言えません。
そこで必要になるのが「第三者に情報が渡った際の対策」です。
DirectCloud-BOXのオプション「DirectCloud-SHIELD」のIRM機能でファイルを暗号化することで、フォルダを開封されたとしても「ファイルの開封」を阻止することができます。

まとめ

いかがでしたでしょうか。
パスワード付きzipファイル運用は日本企業ではすっかりと定着しており、脱却するのは難しい現状にありますが、セキュリティの観点からは万全とは言えません。
ファイル管理においてセキュリティの担保は必須であり、利便性を同時に高めるためにはクラウドストレージを活用した対策がおすすめです。
あなたもこの機会にクラウドストレージ導入を検討してみてはいかがでしょうか。

■関連ページ:
・情報漏洩の脅威から企業の重要なファイルを守る | DirectCloud-SHIELD（β版）