【貴社が行うべきPPAP対策】脱パスワード付きzip運用のススメ

パスワード付き
zipファイルとは

社内の規定などで、資料を添付する際はパスワード付きzipで送付していることがマニュアル化されている企業様も多いかと思います。
改めておさらいしますと、パスワード付きzipファイルとは社内・社外とファイル授受を行う際に、対象となるファイルをzip形式に圧縮後暗号化し、パスワードは別のメールで送付する方法です。
これは、今ではごく一般的なファイル共有方法であり、日本企業のビジネスにおける慣習としてすっかり定着しています。ITコンサルタントの大泰司章(おおたいしあきら)氏はこれら一連のプロセスを「PPAP」と揶揄しています。

古くからの日本の慣行を「プロトコル」と揶揄するのは非常に粋ですよね。一昔前までは、ファイル共有におけるセキュリティリスクを低減させる方法として認知されていました。
しかし、多くの専門家はパスワード付きzipファイルでの運用では本質的なセキュリティ解決策にはなり得ないと警鐘を鳴らしており、ついに国が抜本的な改革に乗り出したのです。

あなたを苦しめるzipファイル、それでも使い続けなくてはいけません

平井卓也デジタル改革担当大臣が11月17日の定例会見で「26日からパスワード付きzipファイルの添付を内閣府、内閣官房で廃止する」旨を発表しました。
脱ハンコ文化に次ぐ国直々の発表ということもあり、今後の動向が気になっている方も多いかと思います。
とはいえ、もともとパスワード付きzipファイルでの運用はセキュリティリスクがあると分かっていたにもかかわらず、なぜ日本の組織から無くなることがなかったのでしょうか。 考えられる理由は以下の3つでしょう。

パスワード付きzipファイル運用が撤廃されない理由

まず、パスワード付きzipファイルを誤送信してしまっても、後続のパスワード通知メールを送付する前に気づけば、開封されてしまうリスクを低減することができるのが大きな理由でしょう。
また、個人情報保護体制の基準への適合性を評価する規格である「プライバシーマーク」や、情報セキュリティ管理策のガイドライン規格である「ISMS」において、審査基準にパスワード付きzipファイルに対する取扱いが規定されているため、現状維持を選択しているというケースも考えられます。
例えば、プライバシーマーク審査団体である「一般社団法人情報サービス産業協会(JISA)」では下記のように明言しています。

“ 【第23条】個人情報を含む添付ファイルを取扱う際に、セキュリティ対策（データの暗号化、パスワード設定など）の措置を講じることを新たに追加した。”

そして何より、ファイルをzip暗号化して送付することは日本企業における慣行(＝常識)になっているため、新しい運用方法を取り入れることに抵抗感が拭えないことも挙げられます。特に周囲との協調性が求められる日本企業なら尚更でしょう。
②のようにPマークやISMSの認定を目的としているのであれば、仕方のない部分ですが、①のパスワード付きzipファイルで運用することにより「リスク低減に繋がる」というのはセキュリティの観点から不十分な考えであると言えます。
パスワード付きzipファイル運用の危険性を分かりつつも、それを放置しまっている現状をご理解いただけたでしょうか。
あなたの会社が変えるべきタイミングは今です。

登録はたった1分！脱zipに向けたファイル共有ツールを今すぐ無料トライアル

パスワード付き
zipファイルの添付が
危険な理由

パスワード付きzipファイル運用のセキュリティに対する間違った解釈や、運用方法を変更することに抵抗感があるのは事実です。 しかし、同時にあなたはこのような悩みを抱えていませんか。

・パスワード付きzipファイル運用はセキュリティ上問題があると聞き心配
・パスワード付きzipファイルの送信方法が煩雑で面倒
・ファイル共有の際に誤送信してしまいそうで心配

確かにセキュリティ上の脆弱性を放置していると気が気でならないですよね。
それでは、改めてパスワード付きzipファイル運用におけるセキュリティ上の問題点はどこにあるのか洗い出していきたいと思います。

考えられる理由は以下5つです。

パスワード付きzipファイル運用のセキュリティリスク

総当たり攻撃や専用ソフトウェアで解読されてしまう可能性がある

一通目の送信後に誤送信であると気づいた場合でも、zip暗号化する際に設定したパスワードが分かりやすい文字列・数字の羅列だった場合、可能な組み合わせをすべて試す「総当たり攻撃」により解読されてしまうリスクがあります。
また、例えば圧縮解凍のソフトウェア「Lhaplus」などには総当たり攻撃と同じ方法でパスワードを解析する機能があるので、パスワードをかけたからといって万全であるとは言えません。

・図1：Lhaplusの「ZIPパスワード探索」機能

他にも「PikaZip」などのフリーソフトウェアを用いれば、簡単にクラッキングすることができてしまいます。これは本来、自分でかけたパスワードを忘れてしまった際、zipファイルを開封することを目的とし提供されていましたが、これを悪用することもできてしまうのです。

マルウェア「Emotet（エモテット）」が仕込まれた添付ファイルの温床になる

最近急増しているマルウェア「Emotet」をご存知でしょうか。
Emotetとは、情報を不正に窃取するウイルスのことです。Emotetはパスワード付きzipファイルを開いたときに感染するのではなく、フォルダに格納されているファイルを立ち上げ、編集を有効化することで悪意のあるマクロが起動する仕組みになっています。

・図2：Emotetへの感染を狙う攻撃メールの例

［引用元］https://www.ipa.go.jp/security/announce/20191202.html

emotetの厄介なところは、連鎖的な標的型攻撃に活用されてしまう点です。攻撃者がemotetにより不正に入手した氏名・メールアドレス・メール内容を用い、あたかも取引先から返信してきたかのように装うことで、別のターゲットに対してemotetを組み込んだzipファイルを開封させ感染させてしまうのです。
メールサーバー側のウイルス検知システムはパスワード付きzipファイルに対するセキュリティチェックが正常に機能しないことがあるため、その弱みに付け込むことでEmotetの温床となっているのが実情です。
これまで述べたセキュリティリスクは送信側のリスクとして述べていましたが、Emotetによる被害は受信者側のリスクであると言えます。
また、自身のパソコンがマルウェアに感染していることに気づかずに、マルウェアが付着した添付ファイルを相手に送ってしまう可能性もあります。つまり知らない間に攻撃者になってしまうリスクもあるのです。

パスワード付きzipファイルのセキュリティリスクを解消するための対応策

このように、パスワード付きzipファイル運用は必ずしもセキュリティが万全であるとは言えないことをご理解いただけたかと思います。
それでは、社内外でセキュアかつ快適にファイル共有を行うためにはどうすれば良いのでしょうか。
ここでは、社内のセキュリティポリシーを整備した上で順次クラウドストレージに切り替える方法をおすすめします。

具体的には下記の通りです。

人数がどれだけ増えても固定料金＆高セキュアのファイル共有サービスを今すぐ試してみる！

今すぐクラウドストレージへ全面移行することに不安を覚える方もいらっしゃるかと思いますので、まずは社内におけるセキュリティポリシーを整備するところから始めましょう。セキュリティポリシーを明確化することで、クラウドストレージを選定する際の基準にもなります。
最終的にはメールを送信するまでのプロセスをワークフローとして整理し、適切に社内展開することで定着化を図ることができます。
ワークフローを作成する上で欠かせない要素がS/MIMEによるメール本文の暗号化でしょう。S/MIMEとは暗号化方式のひとつで、メールに電子署名を付加することで、なりすましやメールの改ざんを防止します。
またzipファイルに設定するパスワードを複雑にすることも、総当たり攻撃への対策となるので効果的です。パスワード通知はメールではなく電話やチャットツールで伝えると良いでしょう。

これらの情報を元に一例としてワークフロー化すると下記のようになります。

社内のセキュリティポリシーを明確化したら、段階的にクラウドストレージに移行しましょう。本記事でおすすめしたいのが、ファイルの機密度と利用人数を数値化した後に乗算し優先順位をつける方法です。
例えば、以下の例を見てください。

上図より優先してクラウドストレージに移行するべきはプロジェクトBだと分かります。優先順位を決めて、機密性や規模などを鑑み全面移行をゴールに据え、徐々に導入範囲を拡大していきましょう。

■具体的な移行方法(データマイグレーション)については、下記で解説しています！
【完全解説】社内ファイルサーバをクラウドストレージに移行する手順

パスワード付きzipファイル運用よりも安全・シンプルにファイルを共有する方法があるのです

クラウドストレージに移行することでパスワード付きzipファイル運用への有効なセキュリティ対策をとることができます。
最も大きな要因は「zipファイル添付自体を無くすことができる」からです。ファイルはすべてクラウド上で一括管理されるため、メール送受信におけるセキュリティリスクを回避することができます。
弊社の提供するDirectCloud-BOXは、パスワード付きzipファイル運用で発生するセキュリティリスクに対して下記の通り対策することができます。

登録はたった1分！今すぐ無料トライアルを申し込む

DirectCloud-BOXは「利便性」と「セキュリティ」に磨きをかけたクラウドストレージです。利便性の一つである「スマートリンク機能」では、リンク1つで大容量ファイルを送付できるだけではなく、万が一誤送信してしまった場合に、リンクを無効化することで、ファイルの中身を確認されてしまうリスクを回避することができます。
しかし、「誤送信してしまった」と気づけない場合もあることから、リンクの無効化だけでは完全なセキュリティ対策であるとは言えません。
そこで必要になるのが「第三者に情報が渡った際の対策」です。
DirectCloud-BOXのオプション「DirectCloud-SHIELD」のIRM機能でファイルを暗号化することで、第三者にファイルが渡ったとしても「ファイルの拡散」を抑止することができます。
更にDirectCloud-BOXでは、テレワーク環境下でもセキュリティを維持しつつ業務効率を向上させることも可能です。
例えばアクセスレベルを「編集者－」に設定することで、ファイルのローカルディスクへのダウンロードを防ぎつつクラウド上に格納されたファイルを直接編集することができます。

まとめ

いかがでしたでしょうか。
パスワード付きzipファイル運用は日本企業ではすっかりと定着しており、脱却するのは難しい現状にありますが、セキュリティの観点からは万全とは言えません。
ファイル管理においてセキュリティの担保は必須であり、利便性を同時に高めるためにはクラウドストレージを活用した対策がおすすめです。
弊社ではお客さまのご状況によって、マイグレーションツール「DCB Migrator」やデータ移行サービスをご提供可能ですので、既存のファイルサーバーからクラウドに移行したい方に特におすすめです。
あなたもこの機会にクラウドストレージ導入を検討してみてはいかがでしょうか。

■法人向けクラウドストレージの比較記事をチェックする！
【徹底比較】法人向けクラウドストレージの導入メリットと選定ポイント