はじめに：なぜPPAPは廃止されるのか
企業やキャリアを積む中で、見かけたことのある「PPAP」という言葉。 メールにパスワード保護されたZIPファイルを添付し、パスワードを別のメールで送信する方法のことです。 一度は「セキュアな方法」と考えられていたこの手法が、今や政府や金融機関が廃止を強く求めています。 本記事では、PPAPがなぜ廃止されるのか、そしてどのような代替策があるのかについて、わかりやすく解説します。
⇒【ロリポップ！固定IPアクセス】 月額490円、すぐに使えて最大2ヶ月間無料！
PPAPとは：基本知識から理解する
PPAPの定義
PPAPは「Password Protected Archive over Postal mail」の略称で、日本語では「パスワード付きファイル添付メール」と呼ばれます。 具体的な手順は以下のようなものです。
- ファイルをZIP形式で暗号化し、パスワードで保護します。
- ZIPファイルを添付したメールを送信します。
- パスワードを別のメールで送信します。
見た目上は「暗号化」と「パスワード」の二重構造で、一見すると安全に思えます。
PPAPが生まれた背景
PPAPが広まった理由は、シンプルさと低コストです。 特別なツールやサービスを導入せず、メール機能だけで実現できるため、中小企業から大企業まで幅広く採用されました。 2000年代から2010年代にかけて、「セキュアな情報共有方法」として一般的になっていったのです。
PPAPが廃止される理由：セキュリティ上の致命的な欠陥
1. 盗聴やメールサーバー侵害で両方が傍受される
PPAPの最大の弱点は、ZIPファイルとパスワードが同じメール経路を通過することです。 メールの通信経路で盗聴が行われた場合、またはメールサーバーに対する不正アクセスが発生した場合、ZIPファイルとパスワードの両方が盗まれるリスクがあります。 別々のメールで送信しても、最終的に同じサーバーに到着していては、意味がないのです。 セキュリティ研究者の間では、これは「疑似的なセキュリティ」として指摘されてきました。
2. マルウェア検査ができない
ZIPなどの圧縮ファイルは、セキュリティソフトが中身を検査しにくい特性があります。 パスワード保護されたZIPファイルの場合、セキュリティソフトはZIP内部の悪意あるプログラムを検出できません。 実際に、2010年代後半から流行し始めたEmotet（エモテット）というマルウェアは、パスワード保護されたZIP内に隠されて拡散されました。 このため、危険なファイルが知らず知らずのうちに配布されるという事態が相次いだのです。
3. 受信者側での誤操作のリスク
パスワードを別のメールで送信する運用は、受信者側に手間をかけます。 新しいPCやデバイスを使う際に、フィッシング詐欺の対象になることもあります。 また、パスワードをメモしたり、保存したりすることで、新たな情報漏洩リスクが生まれるのです。
4. コンプライアンス違反の懸念
内閣府の平井卓也特命担当大臣（当時）は、2020年11月24日の記者会見で、内閣府と内閣官房での自動暗号化ZIPファイルの廃止を発表しました。 その後、2025年5月には金融庁が金融機関に対し、パスワード付きZipファイルを使った電子メール送付を改めるよう強く求めています。 また、大手企業の中には、2026年10月1日から全社的にPPAPの利用を廃止する方針を発表している企業も増えています。
脱PPAPの時代：企業が採用している代替策
1. クラウドストレージサービス：Box、OneDrive、Google Driveの活用
最も推奨される代替策がクラウドストレージへのアップロードです。 ファイルをクラウド上に保存し、URLリンクを共有する方法では、以下のメリットがあります。
- アクセス権限の管理: 誰がファイルにアクセスできるかを細かく制御できます。
- 有効期限の設定: リンクの有効期限を設定することで、一定期間後に自動的にアクセス不可にできます。
- ダウンロード履歴の記録: 誰がいつ、どのファイルをダウンロードしたかが自動で記録されます。
- 版管理: ファイルの更新履歴を管理し、必要に応じて過去のバージョンに戻せます。
特にBoxなどのエンタープライズグレードのサービスでは、これらの機能が強力で、企業向けのセキュリティ要件を満たしています。
2. メール暗号化ソリューション：送受信側での自動暗号化
別の方法として、メール本文と添付ファイルを送信時に自動的に暗号化するソリューションがあります。 このアプローチでは：
- 送信者の操作負担が減る: 特別な手順を踏まず、通常通りメールを送信するだけです。
- 受信者側の使いやすさ: パスワードを別途受け取る手間がありません。
- 高い暗号化レベル: エンタープライズグレードの暗号化が自動的に適用されます。
ただし、このソリューションは導入・運用コストがかかるため、主に大企業で採用されています。
3. セキュアファイル転送サービス：Tresorit、Send Anywhereの活用
専門のセキュアファイル転送サービスも増えています。 これらのサービスは：
- 高度な暗号化: エンドツーエンド暗号化により、送信者と受信者以外は中身を見られません。
- 利用者認証: ダウンロード時に本人確認を行うことで、第三者によるアクセスを防止します。
- アクセスログの記録: 詳細なアクセスログが自動で生成されます。
特に機密情報の外部送信が多い業務では、導入価値が高いです。
4. ゼロトラストセキュリティを実装したVPN接続
より高度なセキュリティが必要な場合、クラウドストレージへのアクセスを固定IPアドレス経由に限定する方法があります。 例えば、ロリポップ！固定IPアクセスのようなVPNサービスを利用して、アクセス元を限定することで、より強固なセキュリティを実現できます。 企業のシステムへのアクセスを特定のIPアドレスからのみに制限し、その上でクラウドストレージを利用することで、さらに安全なファイル共有環境が構築できるのです。
脱PPAP成功事例：企業がどう対応しているか
事例1：金融機関のメール暗号化導入
大手銀行では、顧客情報を送付する際に、従来のPPAPからメール暗号化ソリューションへの切り替えを進めています。 これにより、セキュリティ体制の強化と同時に、顧客対応の簡素化を実現しています。
事例2：IT企業のクラウド化推進
SaaS企業では、全社的にクラウドストレージの導入を完了させ、メールでのファイル添付をルール上禁止し、クラウドリンク共有を標準化しています。 その結果、セキュリティインシデントが減少し、運用効率も向上したとのことです。
事例3：大手メーカーのハイブリッドアプローチ
製造業大手では、クラウドストレージとメール暗号化の両方を組み合わせるハイブリッドアプローチを採用しています。 顧客によって対応方法を分け、柔軟にセキュリティ要件に対応しているのです。
実装のポイント：脱PPAPで気をつけるべきこと
1. 段階的な移行計画を立てる
すべての業務を一度に切り替えるのは現実的ではありません。 リスク度の高い業務から段階的に移行し、運用体制を整えることが成功の鍵です。
2. 従業員教育の実施
新しい仕組みの導入には、従業員の理解が欠かせません。 「なぜ脱PPAPが必要なのか」「どう新しい方法を使うのか」を周知する必要があります。
3. ベンダー選定に時間をかける
クラウドストレージやメール暗号化ソリューション選びは、企業のセキュリティ体制に大きく影響します。 既存システムとの連携、コスト、サポート体制などを十分に検討することが重要です。
4. アクセス制御の厳密化
新しい仕組みの導入と同時に、アクセス権限管理を厳密にすることが重要です。 不要な権限を与えない、定期的に権限を見直すなどの運用ルールを確立しましょう。
脱PPAP推進のための具体的な施策
クラウド導入時のセキュリティチェックリスト
- クラウドサービスの暗号化レベルは十分か
- アクセス権限の段階的な制御が可能か
- ログ記録と監査機能は充実しているか
- バックアップとディザスタリカバリー機能は備わっているか
- SLA（Service Level Agreement）は企業要件を満たしているか
メール暗号化導入時の確認項目
- 送信者と受信者の両方の負担軽減が実現できるか
- 既存メールシステムとの統合は円滑か
- エスカレーション対応の仕組みは充実しているか
- 対応ブラウザやメールクライアントに制限はないか
PPAPからの完全移行のロードマップ
第1段階：準備期間（1～2か月）
- セキュリティリスク分析の実施
- 導入ソリューションの選定
- パイロットプログラムの計画
第2段階：パイロット導入（2～3か月）
- 特定部門での試験運用
- ユーザーフィードバックの収集
- 運用マニュアルの作成
第3段階：全社展開（3～6か月）
- 段階的な全社導入
- 継続的な従業員教育
- セキュリティ監視の実施
第4段階：運用・最適化（継続）
- 定期的なセキュリティ監査
- アクセスログの定期確認
- 新しい脅威への対応検討
固定IPで安全なアクセス環境を実現するなら「ロリポップ！固定IPアクセス」
ロリポップ！固定IPアクセスは、今お使いのインターネット回線をそのまま活かして固定IPアドレスを利用できるVPNサービスです。 月額539円（税込）から、初期費用0円・最大2ヵ月無料で始められます。 WireGuardによる高速接続で、VPN特有の速度低下も気になりません。
脱PPAPの推進と同時に、クラウドストレージへのアクセス元を固定IPに限定することで、さらに堅牢なセキュリティが実現できます。 IP制限をかけたい社内システムやクラウドサービスへのアクセス管理にぴったりです。 プロバイダの乗り換えも不要で、申し込んだその日から利用できます。
おわりに
PPAPの廃止は、単なるトレンドの変化ではなく、セキュリティの歴史的な転換点です。 政府や金融機関の方針転換、マルウェアの流行、セキュリティ研究の進展など、複数の理由が重なって起きています。 本記事で紹介した代替策を参考に、自社に適した脱PPAP戦略を策定してください。 セキュリティを強化しながら、業務の効率化も実現できるはずです。
