2020年から2021年にかけてサイバーセキュリティー界わいを騒がせた言葉の1つに「PPAP▼」がある。PPAPとはファイルを共有する手段の1つだ。暗号化ZIPファイルをメールで送付した後に、別のメールでパスワードを送付する（図1）。
今回はこのPPAPの問題点と、PPAPから脱却する方法を解説する。脱PPAPをきっかけに考えるべきデータガバナンスについても取り上げる。
官民で廃止進む
PPAPは官公庁や企業で広く使われてきた。メールの誤送信による情報漏洩の防止と、通信経路上の盗聴防止に効果があると考えられたからだ。PPAPでは暗号化ZIPファイルとパスワードを別のメールで送信する。このため両方のメールを同じ宛先に誤送信しなければ情報漏洩にはつながらない。このことから誤送信対策になるとされた。
また、添付ファイルが暗号化されているので、通信経路でメールを盗聴されても情報は漏洩しない。このため盗聴対策の効果もあるとされた。
ところが2020年11月ごろから、PPAPを廃止する企業が増え始めた。デジタル改革相（当時）の平井 卓也氏が内閣府と内閣官房でPPAPを廃止すると発表したことがきっかけだ。2021年には日立製作所やインターネットイニシアティブなど、大手企業も廃止を発表した。
セキュリティーリスクを高める
PPAPを廃止する企業が相次ぐのは、実際には意味がないと周知され始めたからだ。意味がない理由は3つある（図2）。1つ目はそもそも誤送信対策にならないためだ。通常は暗号化ZIPファイルを誤送信した場合には、パスワードメールも同じ宛先に送ってしまうだろう。「暗号化ZIPファイルの誤送信に気づいてパスワードメールの送信をやめる」といったことはまずあり得ない。
いわゆる「PPAPツール」を利用している場合にはなおさらだ。PPAPツールは、メールに添付ファイルがある場合には暗号化し、同じ宛先にパスワードメールを自動的に送信するからである。
2つ目は盗聴対策にもならないためだ。通常、暗号化ZIPファイルとパスワードのメールは同じ経路で送られる。このため暗号化ZIPファイルを盗聴できる攻撃者は、パスワードも窃取できる可能性が高い。
3つ目はマルウエアを検知できなくなるためだ。UTM▼などマルウエアを検知する仕組みを導入していても、暗号化されていると検知できない場合がある。実際、近年猛威を振るっているマルウエア「Emotet」は、暗号化ZIPファイルに潜んで企業に侵入する場合がある。PPAPは無意味なだけでなく、むしろセキュリティーリスクを高める。
