近年、多くの企業や官公庁で「脱PPAP」の動きが加速しています。長年慣れ親しんだファイル共有方法が、なぜ今見直されているのか、その背景を解説します。

PPAPとは何か
PPAPとは、ファイルをパスワード付きZIPファイルに暗号化してメールで送信し、その直後にパスワードを別メールで送信する方法を指す日本独自の造語です。Password付きZIPファイルを送る、Passwordを送る、Angoka（暗号化）、Protocol（プロトコル）の頭文字をとって名付けられました。
この名称は、日本情報経済社会推進協会（JIPDEC）の大泰司章氏が2016年に提唱したもので、当時流行していたピコ太郎の楽曲「PPAP」にちなんで命名されました。PPAPは日本企業特有の慣習であり、海外ではほとんど見られない運用方法です。

PPAPが広まった理由と現場で起きている課題
PPAPが普及した背景には、プライバシーマーク（Pマーク）制度の影響があります。個人情報保護の観点から、メールでファイルを送信する際には暗号化が推奨され、パスワード付きZIPファイルがその手段として広く認識されました。多くの企業がPマーク取得のためにPPAPを採用し、いつしか「ファイル送信時の標準的なセキュリティ対策」として定着していきました。
しかし、この方法は送信者と受信者の双方に大きな負担を強いる結果となりました。送信者はファイルをZIP形式に圧縮し、パスワードを設定し、2通のメールを送信するという手間がかかります。受信者も、2通のメールを確認し、パスワードを入力してファイルを解凍するという作業が必要です。このような煩雑な運用が日常的に繰り返されることで、業務効率の低下を招いていました。

2020年以降に「PPAP廃止」が加速した流れ
2020年11月24日、当時の平井卓也デジタル改革担当大臣が記者会見において、中央省庁でのPPAP廃止方針を発表しました。平井大臣は「セキュリティ対策として効果がない」「受け取る側の利便性を考えていない」と指摘し、内閣府・内閣官房でのPPAP運用を廃止する方針を明らかにしたわけです。

参照元：平井内閣府特命担当大臣記者会見要旨 令和2年11月24日

これに追随し、JIPDEC（日本情報経済社会推進協会）もPPAPを推奨しないと表明。JIPDECは、Pマーク審査においてPPAPを必須要件としていないことを改めて周知し、PPAPに代わる適切なセキュリティ対策の導入を推奨しました。
さらに、マルウェア「Emotet」がパスワード付きZIPファイルを悪用して感染を拡大させたことで、PPAPのリスクが広く認識されるようになりました。Emotetは、正規のビジネスメールを装ってパスワード付きZIPファイルを送り付け、受信者がファイルを開くとマルウェアに感染するという手口を使っていたという背景があります。

脱PPAPで目指すゴールは「安全＋運用できること」
脱PPAPの真のゴールは、単にPPAPを廃止することではありません。安全なファイル共有環境を構築し、かつ現場で無理なく運用できる仕組みを確立することにあります。
いくら高度なセキュリティ機能を備えたツールを導入しても、現場の従業員が使いこなせなければ意味がありません。操作が複雑すぎると、従業員は「抜け道」を探して非公式な方法でファイルを共有するようになり、かえってセキュリティリスクが高まってしまいます。「セキュリティの確保」と「業務効率の維持」を両立させることが、脱PPAPで目指すべき本質的なゴールです。

関連記事: PPAP対策が進む理由とは？リスクを避けるために今すぐ取り入れるべき代替策

PPAPは手軽さから広く普及しましたが、セキュリティと業務効率の両面で深刻な課題を抱えています。ここでは、PPAPが抱える具体的な問題点を4つの観点から整理します。

PPAPの主な問題点は以下の通りです。

• 同じメール経路でファイルとパスワードを送るため、盗聴されると両方が漏えいする
• パスワード付きZIPファイルはウイルス検査をすり抜けてしまう
• 誤送信時にファイルを取り消すことができない
• 煩雑な運用が「抜け道」を生み、かえってセキュリティリスクを高める

同じ経路でファイルとパスワードを送る限界
PPAPの最大の問題点は、ファイルとパスワードを同じメール経路で送信することにあります。悪意のある第三者がメール経路を盗聴していた場合、暗号化されたZIPファイルとそのパスワードの両方が一度に盗まれてしまいます。これでは、暗号化している意味がほとんどありません。
本来、暗号化によるセキュリティを確保するためには、ファイルとパスワードを異なる経路で伝達する必要があります。例えば、ファイルはメールで送り、パスワードは電話や別のメッセージングツールで伝えるといった運用が考えられます。しかし、業務効率を優先するあまり、多くの企業で同一のメール経路を使う運用が定着してしまいました。この「形骸化したセキュリティ対策」が、PPAPの根本的な限界と言えます。

ウイルス感染リスク（暗号化ZIPで検査が効きにくい）
企業のセキュリティゲートウェイやウイルス対策ソフトは、メールに添付されたファイルを自動的にスキャンしてマルウェアを検知する機能を備えています。しかし、パスワードで暗号化されたZIPファイルの中身までは検査することができません。攻撃者はこの仕組みを悪用し、マルウェアをパスワード付きZIPファイルに格納して送り込みます。
実際に、マルウェア「Emotet」はこの手口を使って多くの日本企業に感染を広げました。IPA（情報処理推進機構）は2020年9月、パスワード付きZIPファイルを使った攻撃について注意喚起を行っています。Emotetに感染すると、メールアカウントの認証情報が窃取され、さらに取引先へ感染を広げる踏み台として悪用されるリスクがあります。PPAPは、セキュリティ対策どころか、かえってマルウェアの侵入を助けてしまう危険性があるわけです。

参照元： 相談急増／パスワード付きZIPファイルを使った攻撃の例（2020年9月2日）

誤送信対策としても効果が薄い
PPAPは、メールの誤送信対策としても期待されていましたが、実際にはほとんど効果がありません。宛先を間違えてファイルを送ってしまった場合、多くのケースではパスワードも同じ誤った宛先に送信されてしまいます。これでは、誤送信による情報漏えいを防ぐことはできません。
また、仮にパスワードを送る前に誤送信に気づいたとしても、すでにファイルは相手に届いています。パスワード付きZIPファイルの暗号強度は決して高くなく、専用ツールを使えば時間をかけて解読される可能性があります。PPAPでは、一度送信したファイルを取り消すことができないため、誤送信時のリカバリーが極めて困難です。

業務が遅くなり”抜け道運用”が増える
PPAPは、送信者と受信者の双方に煩雑な作業を強います。送信者はファイルをZIP形式で圧縮・暗号化し、パスワードを設定した上で、2通のメールを送信しなければなりません。受信者も、2通のメールを受け取り、パスワードを確認して入力するという手間がかかります。
このような非効率な運用が続くと、現場では「抜け道」を探す動きが出てきます。パスワードを固定化して使い回す、暗号化せずにファイルを送る、個人のクラウドストレージを勝手に使うなど、セキュリティポリシーに反する「シャドーIT」が横行するリスクがあります。形式的なセキュリティ対策が、かえって実質的なセキュリティリスクを高めてしまうという皮肉な結果を招いているわけです。

PPAPを廃止し、適切な代替策に移行することで、企業は多くのメリットを享受できます。ここでは、脱PPAPがもたらす主な効果を3つの観点から解説します。

情報漏えい・マルウェアのリスクが低減される
脱PPAPの最大のメリットは、セキュリティリスクの大幅な低減です。クラウドストレージやファイル転送サービスを利用すれば、ファイルの実体とアクセス情報（URL）が分離されるため、メールが盗聴されてもファイルの中身が直接漏えいすることはありません。
また、多くの法人向けサービスは、ファイルのアップロード時に自動的にウイルススキャンを実施します。パスワード付きZIPファイルのようにセキュリティゲートウェイをすり抜けることがないため、マルウェアの侵入リスクを大幅に低減できます。さらに、共有リンクの無効化機能を使えば、誤送信に気づいた時点でファイルへのアクセスを遮断することも可能です。

取引先とのファイル送受信がスムーズになる
脱PPAPは、業務効率の向上にも大きく貢献します。PPAPでは送信者・受信者ともに複数の手順を踏む必要がありましたが、クラウドストレージを利用すれば、送信者はファイルをアップロードして共有リンクを送るだけ、受信者はリンクをクリックしてダウンロードするだけで完了します。
特に、大容量ファイルの送受信においてメリットが顕著です。メール添付では送信できないサイズのファイルも、クラウドストレージであれば容易に共有できます。取引先との円滑なコミュニケーションが実現し、ビジネスのスピードアップにつながります。

セキュリティと業務効率を両立できる
適切な代替策を選定すれば、セキュリティと業務効率を高いレベルで両立させることが可能です。メールソフトと連携するプラグイン機能を持つサービスであれば、従業員は普段のメール作成画面から直接ファイルを共有でき、操作方法を大きく変える必要がありません。
また、管理者側では、アクセスログの一元管理や、上長承認ワークフローの設定など、ガバナンス強化に必要な機能を活用できます。「使いやすさ」と「管理のしやすさ」を両立することで、現場への定着とセキュリティ強化を同時に実現できるわけです。

脱PPAPに向けた取り組みの広がり
脱PPAPの動きは、政府の方針発表をきっかけに、官公庁から民間企業へと急速に広がっています。ここでは、各セクターにおける取り組みの現状を概観します。

官公庁・自治体で進む脱PPAPの流れ
2020年11月の内閣府発表以降、中央省庁では順次PPAPの廃止が進められています。各省庁は、クラウドストレージやファイル転送サービスを活用した新たなファイル共有方法への移行を進めており、これが民間企業への波及効果をもたらしています。
地方自治体においても、デジタル化推進の一環として脱PPAPの取り組みが広がっています。住民や事業者とのファイルのやり取りにおいて、より安全で効率的な方法への移行が進められています。

大企業・上場企業におけるセキュリティ方針の変化
大企業や上場企業では、コーポレートガバナンスの観点から、情報セキュリティ対策の強化が経営課題として認識されています。特に、サプライチェーン全体でのセキュリティ確保が重視される中、取引先に対してもPPAPの利用を控えるよう要請する企業が増えています。
また、ISMS（情報セキュリティマネジメントシステム）認証の取得・維持においても、PPAPの問題点が認識されるようになり、代替策への移行が進んでいます。

取引先にも脱PPAP対応が求められるようになってきた背景
大企業を中心に脱PPAPが進む中、その取引先である中小企業にも対応が求められるようになっています。この背景には、サプライチェーン攻撃のリスクがあります。攻撃者は、セキュリティ対策が比較的手薄な中小企業を踏み台にして、大企業への侵入を試みることがあります。
取引先から「PPAPでのファイル送信はお断りします」と言われるケースも増えており、脱PPAPへの対応は、ビジネス継続のための必須要件になりつつあります。

PPAPに代わるファイル共有方法として、いくつかの選択肢があります。ここでは、代表的な4つの代替手段について、それぞれの特徴を解説します。

以下の表は、主な代替手段の特徴を比較したものです。

URL共有（期限・パスワード・権限で制御する方法）
最も一般的な代替手段が、クラウドストレージを利用したURL共有です。ファイルをクラウド上にアップロードし、そのファイルへアクセスするための固有のURL（共有リンク）を相手に送信します。ファイルの実体はクラウド上に保管されるため、メールが盗聴されてもファイルの中身が直接漏えいすることはありません。
共有リンクには、有効期限、パスワード、ダウンロード回数制限、アクセス権限（閲覧のみ、ダウンロード可など）を設定できるサービスが多く、きめ細かなセキュリティ制御が可能です。また、誤送信に気づいた場合は、リンクを無効化することで被害を最小限に抑えられます。

セキュアなファイル転送
法人向けのファイル転送サービスは、大容量ファイルの安全な送受信に特化したソリューションです。送信者がファイルをサービス上にアップロードし、受信者に通知メールが送られ、受信者はサービスにアクセスしてファイルをダウンロードします。
多くのサービスでは、ウイルスチェック、上長承認ワークフロー、詳細なアクセスログ管理といった、法人利用に必要な機能が標準で提供されています。また、一定期間経過後にファイルが自動削除される機能により、不要なデータの残存リスクを低減できます。

関連記事: 法人が選ぶべきファイル送信サービスとは？無料サービスとの違いとチェックポイントを解説

オンラインストレージによるファイル共有
オンラインストレージ（クラウドストレージ）は、ファイルの保管と共有を一元的に行えるサービスです。社内のファイルサーバーの代替として利用できるほか、社外の取引先とのファイル共有にも活用できます。
フォルダ単位でのアクセス権限設定や、ファイルの世代管理（バージョン管理）機能を持つサービスも多く、継続的なプロジェクト管理に適しています。ただし、社外共有の設定を誤ると、意図しない相手にファイルが公開されてしまうリスクがあるため、適切な権限管理が重要です。

関連記事: クラウドストレージとは？法人・企業向けサービスのメリットと選び方

メール暗号化（S/MIME等）
S/MIME（Secure/Multipurpose Internet Mail Extensions）は、メール自体を暗号化し、デジタル署名を付与する技術です。送信者と受信者の間で暗号化された通信が行われるため、盗聴のリスクを大幅に低減できます。
ただし、S/MIMEの導入には、送信者と受信者の双方が電子証明書を取得し、対応するメールソフトを使用する必要があります。取引先にも同様の環境整備を求めることになるため、導入のハードルは比較的高いと言えます。

PPAPの代替手段を選ぶときの判断軸
代替手段を選定する際には、単にファイルを送受信できるだけでなく、企業のセキュリティガバナンスを維持・強化できるかどうかを総合的に評価する必要があります。

社外共有を安全に制御できるか
代替策には、社外ユーザーとのファイル共有を安全に制御できる機能が不可欠です。ファイルやフォルダごとにアクセス権限を設定でき、共有リンクの有効期限やパスワード、ダウンロード回数を制限できることが重要です。誰がどのファイルにいつまでアクセスできるかを、管理者が一元的に把握・コントロールできる仕組みが求められます。

操作ログ・証跡が残るか
コンプライアンスや内部統制の観点から、ファイル共有に関する操作ログが正確に記録され、必要な時に追跡・監査できることが極めて重要です。「誰が」「いつ」「どのファイルに」「何をしたか」という履歴が記録されることで、インシデント発生時の原因究明や、不正操作の早期発見が可能になります。

取引先にも負担なく使ってもらえるか
ファイル共有には必ず相手が存在します。専用ソフトのインストールや複雑なアカウント登録が不要で、Webブラウザだけでファイルを受け取れる仕組みが理想的です。取引先に余計な負担をかけないことが、円滑な業務運用の鍵となります。

現場で定着しやすいか
導入する代替策が現場の従業員にとって使いやすく、業務プロセスにスムーズに組み込めることが定着の鍵です。メールソフトとの連携機能など、既存の操作感を大きく変えずに移行できるかどうかが重要な要素となります。導入研修や操作マニュアルの整備も、定着を促進するための重要な施策です。

代替手段を選定する際のチェックポイントをまとめると、以下のようになります。

• 共有リンクに有効期限・パスワード・ダウンロード回数制限を設定できるか
• 詳細なアクセスログが自動保存され、監査対応が可能か
• 取引先がアカウント登録不要でファイルを受け取れるか
• メールソフトとの連携機能があり、既存の操作感を維持できるか
• 上長承認ワークフローなど、誤送信防止機能が備わっているか

脱PPAPの必要性は理解しつつも、具体的な移行においては様々な疑問が生じます。ここでは、よく寄せられる質問とその回答をまとめます。

Q1. PPAPをやめるだけで本当に安全になりますか？
PPAPをやめることはセキュリティ向上の重要な一歩ですが、それだけで万全とは言えません。適切な代替策への移行に加え、誤送信防止機能の活用や従業員へのセキュリティ教育など、組織的な対策を組み合わせることが不可欠です。脱PPAPは、総合的なセキュリティ強化の一環として位置づけるべきです。

Q2. 取引先がPPAPを要求してきた場合はどうすべきですか？
自社がPPAPを廃止した背景を丁寧に説明し、代替策の安全性と利便性を理解してもらう努力が必要です。多くの場合、取引先も脱PPAPの必要性を認識しており、適切な説明があれば理解を得られます。どうしても理解が得られない場合に備え、例外的な対応フローを事前に定めておくことも有効です。

Q3. 社内で脱PPAPが定着しない原因は何ですか？
定着しない主な原因は「メリットを実感できない」「操作が面倒」「導入目的が理解されていない」の3点です。直感的なツールの選定と、利用者側のメリットを具体的に示すことが重要です。また、経営層からのメッセージ発信や、成功事例の共有も定着を促進する効果があります。

Q4. メール添付を完全に禁止できますか？
技術的には可能ですが、業務への影響が大きいため慎重な検討が必要です。一律禁止より、代替サービスへの移行を促し、徐々にメール添付を減らしていく方法が推奨されます。まずは特定のファイルサイズ以上を禁止するなど、段階的なアプローチが効果的です。

Q5. 誤送信した場合、どこまで被害を防げますか？
多くの法人向けサービスには、共有リンクの無効化、ダウンロード回数制限、有効期限設定といった機能があります。誤送信に気づいた時点で対処でき、PPAPでは不可能だった送信後のコントロールが可能になります。これにより、情報漏えいのリスクを大幅に低減できます。

Q6. グループ企業・子会社でも同じ仕組みを使えますか？
多くの法人向けサービスでは、グループ全体での利用を想定した管理機能が提供されています。親会社がポリシーを統制しつつ、各子会社に権限を委譲する柔軟な運用が可能です。グループ全体でセキュリティレベルを統一することで、サプライチェーン全体のリスク低減につながります。

Q7. 情報システム担当者が少人数でも運用できますか？
クラウドサービス（SaaS）であれば、サーバー構築やメンテナンスは事業者が行うため、少人数でも運用可能です。直感的な管理画面により、専門知識がなくても日常的な管理業務を行えます。また、サポート体制が充実したサービスを選ぶことで、トラブル発生時の負担も軽減できます。

Q8. ランサムウェア対策としても有効ですか？
はい、有効です。Emotetなどのマルウェアはパスワード付きZIPを悪用して侵入するため、PPAPを廃止するだけで主要な侵入経路を遮断できます。また、クラウドストレージのウイルススキャン機能やバージョン管理機能も、ランサムウェア対策として有効に機能します。

Q9. 導入時に現場で反発が起きた場合の対処法は？
脱PPAPの必要性を丁寧に説明し、パイロット導入で利便性を体感してもらうことが有効です。成功事例の共有や、導入初期のサポート体制を整えることで、現場の不安を解消できます。また、現場の声を聞きながら運用ルールを調整する柔軟性も重要です。

Q10. 脱PPAPを段階的に進めることは可能ですか？
はい、可能です。まず代替ツールを導入して利用を推奨し、次に特定部門でPPAPを禁止、その後ファイルサイズによる制限を設け、最終的に全社的に原則禁止とする、といった段階的なアプローチが効果的です。急激な変化は現場の混乱を招くため、計画的な移行が推奨されます。

脱PPAPを段階的に進める場合の推奨ステップは以下の通りです。

• 代替ツールを導入し、利用を推奨（PPAPとの併用期間）
• 特定部門（情報システム部門など）でPPAPを先行禁止
• 一定サイズ以上のファイルについてPPAPを禁止
• 全社的にPPAPを原則禁止（例外対応フローを整備）

脱PPAPの代替策として、多くの企業で導入が進んでいるのが法人向けファイル転送・共有サービスです。ここでは、20年以上の運用実績を誇る純国産サービス「GigaCC」を例に解説します。

PPAPを使わずに安全なファイル共有ができる仕組み
GigaCCでは、ファイルをクラウドストレージにアップロードし、受信者には共有リンク（URL）のみを通知します。ファイルの実体とアクセス情報が分離されるため、メールが盗聴されてもファイルの中身は漏えいしません。受信者はWebブラウザからURLにアクセスするだけで、安全にファイルをダウンロードできます。
また、GigaCCはISO/IEC 27014（ISMSクラウド認証）認証を取得しており、データセンターも国内に設置されています。金融機関や官公庁など、高いセキュリティ基準が求められる組織でも安心して利用できる信頼性を備えています。

アクセス制御・期限・ログによるガバナンス
GigaCCでは、共有リンクごとにパスワード設定、ダウンロード回数・期間の制限が可能です。また、詳細なアクセスログが自動保存され、内部統制や監査対応に有効です。「誰が」「いつ」「どのファイルを」「ダウンロードしたか」が記録されるため、インシデント発生時の追跡調査にも対応できます。
さらに、オプションの「証跡管理機能（全件バックアップ機能）」によりにより、送信・共有されたファイルをすべて別領域に保存することができます。これにより有事の際には実際に送信されたファイル（現物ファイル）を確認でき、被害の特定や影響範囲の推測が容易になります。
また、上長承認ワークフロー機能により、重要ファイルの社外送信時に第三者チェックを強制することもできます。これにより、誤送信や不正な情報持ち出しを未然に防ぐことが可能です。

以下の表は、PPAPとGigaCCの機能を比較したものです。

社内外のやり取りを”無理なく回せる”理由
GigaCCは、ITリテラシーを問わず誰でも直感的に使えるマニュアル不要でシンプルな操作画面を備えています。取引先はアカウント登録不要でファイルを受け取れるため、相手に余計な負担をかけることがありません。
企業間でデータや業務をデジタルでつなぎ、取引や連携を効率化・高度化していく取り組みである「企業間DX」の観点から見ると、GigaCCは取引先からファイルを手間なく収集できる機能を備えており、相手に確実にファイルを届けることができます。双方向のファイル共有がスムーズに行えるため、ビジネスパートナーとの協業を円滑に進めることが可能です。