脱PPAPとは？Google Workspaceで安全なファイル送信を実現する方法とGmailでの受信拒否設定

脱PPAPとは

脱PPAPとは、ファイルの送受信にPPAPという方法を使わないようにする取り組みのことです。

PPAPとは以下の頭文字を取ったもので、メールでファイルを送信する際に、パスワード付きzipファイルを送信し、別のメールでそのzipのパスワードを送るセキュリティ対策です。

• Password付zip暗号化ファイルを送ります
• Passwordを送ります
• An号化（暗号化）
• Protocol

脱PPAPの他、「PPAP対策」や「PPAP問題（を解決する）」といった言葉で表現されることもあります。

PPAPはなぜ意味がないのか

「PPAPは意味がない」といわれることがあります。

PPAPはセキュリティを高める目的で利用されてきた手法ですが、以下のような矛盾点が存在します。

• zipファイルもパスワードも同一経路で送信する
• zipファイルの暗号化の解除は難しくない

なぜ、このような矛盾点があるにも関わらずPPAPが世の中で利用されるようになったのでしょうか。

PPAPが普及した原因は、プライバシーマーク（Pマーク）審査時にPPAPによるファイル送信方式がセキュリティ対策として認められてしまったのが理由といわれています（※1）。

その結果、PPAPを採用する企業が急増することになり、審査を通すためのPPAPの運用が一般化し、「セキュリティを高める」という本来の目的を見失っていきました（※2）。

※1 パスワード付きzipファイルが誤送信された場合でも、パスワードが送信されなければリスクを防ぐことができるとの判断だといわれています。
※2 ただし、プライバシーマーク（Pマーク）付与機関であるJIPDECは「従来から推奨していない」との見解を発表しています。

政府や大手企業が次々に脱PPAPを表明

PPAPが普及する一方で、セキュリティ対策としての脆弱性を指摘する声も大きくなりました。

大きなきっかけとなったのは、2020年11月24日に当時の平井デジタル改革担当大臣が、内閣府・内閣官房における「自動暗号化ZIPファイルの廃止」を表明した記者会見です。

 

内閣府、内閣官房で採用していたZIPファイル送付と同じ経路でパスワードを自動で送る方式は、セキュリティ対策の観点からも、受け取る側の利便性の観点からも、適切なものではないと考えています。

 

引用元：平井内閣府特命担当大臣記者会見要旨 令和2年11月24日

 

日立グループは、2021年12月13日以降のすべてのメール送受信において、パスワード付きZIPファイルの利用を廃止させていただくことを、お知らせいたします。

 

引用元：日立グループにおけるパスワード付きZIPファイル添付メール(通称PPAP)の利用廃止に関するお知らせ

この他、以下のような企業がPPAPの廃止、または廃止検討をしています。

• BIPROGY（旧日本ユニシス）
• 日本IBM
• NEC
• 富士通
• 野村総合研究所（NRI）
• 伊藤忠テクノソリューションズ（CTC）
• TIS
• SCSK
• NTTデータ

参考：日立も「脱PPAP」、大手ITベンダー10社で残るは3社 | 日経クロステック（xTECH）

 

---

脱PPAPに取り組まないとどうなるのか

脱PPAPに取り組まないと、セキュリティ対策が進まないだけでなく、取引先企業からの印象も悪くなってしまう可能性があります。

PPAPがセキュリティ対策として意味のない取り組みだということは、ビジネスの現場では広く知られてるといえます。

そのため脱PPAPに取り組んでいないと「セキュリティに対する認識が甘く、取引において信用できない企業」といった印象を抱かれかねません。

セキュリティ対策としてはもちろん、他社からの信用を得るためにも、脱PPAPに取り組むことをおすすめします。

 

---

Google WorkspaceだけではPPAPの代替にはならない

Google WorkspaceはGoogleが提供するビジネス向けコラボレーションツールです。

当社は10年以上もGoogle Workspaceの代理店として活動し、数多くの導入実績を持っています。

Google Workspaceは企業のセキュリティを向上させるための機能を数多く実装していますが、PPAPに関しては代替する機能を有していません。

Google ドライブのファイル共有はPPAPの代替にはならない

Google Workspaceはユーザーに対してセキュリティポリシーを設定する機能を備えています。

Google Workspaceの管理者はこの機能を利用して、ユーザーに対してGoogle ドライブにおけるファイル共有の範囲に制限をかけることができます。Google Workspaceは非常に強固なセキュリティ機能を備えていますが、PPAPの代替としてGoogle ドライブの通常共有を使うには以下の2つの壁が存在します。

1. 社外共有禁止ポリシーとの衝突：情報漏洩防止のためドライブ全体の「社外共有を禁止」に設定している企業が多く、現場が取引先にファイルを直接共有できない。
2. 送信相手のアカウント環境：Google ドライブの標準共有は相手がGoogleアカウントを持っていない場合や、相手企業のセキュリティポリシーで外部ドライブへのアクセスが遮断されている場合にスムーズな受け渡しができない。

 

その結果、現場がやむを得ず個人の無料転送サービスやメール添付（PPAP）に戻ってしまうという本末転倒な事態が生じています。

※ ホワイトリスト機能を利用すれば、特定の企業に対してのみ社外共有を許可することもできますが、対象企業がGoogle Workspaceを導入している場合に限ります。

GmailでPPAPを禁止する方法

GoogleWorkspace単体ではPPAPを代替することはできませんが、Gmailに送られてくるPPAPによるファイルの送受信を禁止することは可能です。

GoogleWorkspaceの管理者であれば、以下の手順でPPAPの受信拒否設定を行うことが可能です。

1. 管理コンソールにログインします
2. 左側のメニューで[アプリ]→[GoogleWorkspace]→[Gmail]をクリックします
3. [コンプライアンス]を開き[添付ファイルのコンプライアンス]の[設定]をクリックします
4. 設定項目を追加します

以下のように設定項目を追加します。

1. 「PPAP送受信拒否」など分かりやすい説明を入れましょう
2. 「1. 影響を受けるメール」では、禁止したい送受信方法にチェックを入れます
3. 「2. 各メッセージで検索するコンテンツを表す表現を追加する」では、[暗号化された圧縮ファイルとアーカイブ]と[暗号化されていない圧縮ファイルとアーカイブ]にチェックをつけ[保存]をクリック。会社の方針に合わせて決めてください。
4. [件名]にチェックを入れ、メールの先頭に入れる文言を追加します（「注意」など）。
5. [添付ファイル]にチェックを入れると、ファイル添付されていた場合に自動的に削除できます。自動削除時のメッセージもカスタマイズ可能です。

 

---

Google Workspaceでの脱PPAPを実現するCmosy Pocket

当社が開発・運用を行っている「Cmosy Pocket」は、Google Workspaceのセキュリティポリシー（社外共有禁止）を維持したまま、安全なファイル送受信を実現する拡張サービスです。

Cmosyの実績を受け継ぐ「Cmosy Pocket」で実現する脱PPAP

放送局をはじめ多くのエンタープライズ企業で脱PPAP・安全なデータ授受を支えてきたCmosyのセキュリティ基盤を進化させたのが「Cmosy Pocket」です。

Google ドライブの社外共有禁止ポリシーを維持したまま、以下のセキュアな仕組みで脱PPAPを実現します。

 

Chrome拡張機能で「脱PPAP」を日常化

 

脱PPAPが進まない大きな要因は「セキュリティ対策の手順が煩雑で現場に定着しないこと」です。

Cmosy PocketはChrome拡張機能に対応しており、ブラウザのサイドパネルからGoogle ドライブのファイルを選択するだけで、数秒でセキュアなダウンロードリンクを発行できます。

1. サイドパネルで送付したいファイルを選択
2. 送信先のメールアドレス・有効期限・回数を指定
3. 発行されたURLをメールやチャットに貼り付けて送信完了

相手側にGoogleアカウントや専用ソフトは一切不要。受信者は届いたメールアドレス宛の認証コードを入力するだけで安全にファイルをダウンロードできます。

管理者統制：Webブラウザ版による高度なセキュリティ設定

より厳格なセキュリティポリシーを運用したい企業向けに、Cmosy PocketのWebブラウザ版・管理者コンソールでは以下の統制が可能です。

• パスワード設定の強制：管理者の設定により、全社または特定グループに対してパスワード設定を必須化。
• リンクの集中管理・ログ保管：全ユーザーの送信履歴・アクセスログを管理者が把握でき、監査対応も万全です。

---

Gmailの設定とCmosy Pocketで「受信・送信」双方の脱PPAPを

ここまで説明してきた通り、 Google Workspace 自体にはPPAPを代替する機能が備わっていませんが、 Google Workspace の拡張サービスであるCmosy Pocketを導入することで、PPAPの代替機能を利用することができるようになります。

ここ最近でPPAPを廃止する動きは、目に見える形で進んでいるように見えますが、実際はまだまだPPAPから脱することができていない企業が多いようです。

脱PPAPを成功させる鍵は、「Gmailのコンプライアンス設定による危険なZIPファイルの遮断（受信対策）」と、「現場がストレスなく使えるセキュアな代替手段の提供（送信対策）」をセットで導入することです。

10年以上の運用実績を持つCmosyの堅牢性をそのままに、低価格でスモールスタートできる「Cmosy Pocket」なら、社内のセキュリティ統制と現場の生産性を両立できます。