RIKENTOKYOはオフィス環境と仕組みのご提案で脱PPAPとは、パスワード付きZIPをメールに添付し、別メールでパスワードを送る運用を見直して、相手を指定できるファイル共有などへ切り替えることです。中小企業では、まず契約中のMicrosoft 365でOneDrive・SharePointを利用できるか確認し、取引先が受け取れる方法を選ぶと進めやすくなります。
PPAPとは、ファイルをパスワード付きZIPにして送り、直後に別メールでパスワードを送る、メールでのファイル共有方法のことです。
2020年11月24日の内閣府の記者会見では、内閣府・内閣官房でパスワード付きZIPによる送付を廃止する方針が説明されています。個別の組織の方針と、自社や取引先に適用されるルールは分けて確認しましょう。
| 判断項目 | PPAP（パスワード付きZIP） | 代替手段（クラウド共有など） |
|---|---|---|
| セキュリティ | ウイルス対策製品の検知をすり抜けやすい | 相手・権限を指定できる。期限設定等はサービスや契約による |
| 手間 | ファイルとパスワードを別々に送る手間がかかる | リンク共有のみで完結しやすい |
| 誤送信対策 | 誤送信すると同じ経路で情報が漏れる | 後からアクセス権限を取り消せる場合がある |
| 受け取り | 受信側で暗号化添付が遮断される場合がある | 共有サービスの利用可否と本人確認方法を事前確認する |
PPAPの課題は、パスワードを付けるだけでは、誤送信やメールアカウントの侵害、マルウェア対策を十分に補えないことです。
ファイルとパスワードを同じメールアドレスへ送ると、両方を誤送信した場合や、受信メールを第三者に読まれた場合に保護が働きにくくなります。また、IPAは「情報セキュリティ10大脅威2021」で、暗号化したZIPを使って配送経路上のセキュリティ製品による検知・検疫をすり抜けやすくするEmotetの手口を紹介しています。パスワードが付いていることを、安全な添付ファイルの証拠として扱わないことが大切です。
共有リンクに変えただけで安全になるわけではありません。リンクを知っていれば誰でも開ける設定にすると、転送先にも閲覧される可能性があります。送信先の指定、必要最小限の権限、共有を終えるタイミングまで決めて運用します。
「どのサービスが有名か」より、相手が受け取れるか、継続的な共同作業か、一度きりの受け渡しかで選びます。以下は選定の目安です。個別の機能は契約プラン・管理者設定で確認してください。
| 方法 | 向いている用途 | 確認する条件 |
|---|---|---|
| OneDrive・SharePointの相手指定共有 | Microsoft 365を利用中で、社外への資料共有や共同編集を行いたい | 利用権・外部共有の許可、相手の本人確認、閲覧／編集の権限 |
| 法人向けファイル転送サービス | 単発の受け渡しや大きなファイル送信を定型化したい | 受信者認証、保存先、期限、送信取消、ログ等の対応 |
| 取引先指定の共有環境 | 取引先側のセキュリティ基準や受信ルールが決まっている | アカウント発行、担当者変更、権限・保存期間、費用負担 |
パスワードを別の圧縮形式や別のメールに変えるだけでは、共有後の権限管理や添付ファイル検査の課題が残ることがあります。ファイルの機密性と取引先のルールを整理し、承認した共有方法を社内で統一します。
自社では代替手段を検討していても、「取引先がPPAPを求めてくる」という理由で変更に踏み切れないケースがあります。この場合は、自社から先に代替手段を提案し、選択肢として提示することが有効です。
クラウドストレージを契約しても、使い方や共有ルールが社内に浸透していなければ、結局パスワード付きZIPに戻ってしまいます。ツール導入と合わせて、運用ルールの整備が欠かせません。
RIKEN TOKYOの視点 脱PPAPは、ツール選定と社内・取引先への説明を一緒に進めることが大切です。既存のMicrosoft 365で対応できる範囲を確認し、共有相手と権限、受信できない場合の相談先を決めてから切り替えます。
OneDrive・SharePointが利用でき、管理者が社外共有を許可している場合の進め方です。組織全体とサイト側の設定により、使える共有方法が制限されます。設定変更が必要な場合は管理者へ確認してください。
Microsoft公式資料では、「特定のユーザー」リンクは指定された相手の認証が必要とされています。組織・サイト側の共有設定も確認し、実際に利用できる方法で手順書を作成してください。
共有停止は、その後のアクセスを止めるための操作です。相手がすでにダウンロードしたコピーを回収できるわけではありません。閲覧権限でもダウンロード可能な場合があるため、必要ならダウンロードのブロック機能の対応条件を確認します。
保存場所や権限の決め方はSharePoint・OneDriveのファイル管理、社外共有全体の注意点はMicrosoft 365の外部共有とセキュリティも参考にしてください。
脱PPAPは、次の順番で進めると社内に定着しやすくなります。ツールの導入だけを先に進めるのではなく、現状整理から始めることが重要です。
まずは自社の状況を確認したい方へ Microsoft 365を導入済みでも、メールとTeams以外を使えていない企業は少なくありません。 RIKEN TOKYOでは、活用状況を整理できる「Microsoft 365 活用度チェック」をご用意しています。 Microsoft 365 活用度チェックを確認する
利用開始日、共有サービス名、開き方、受信できない場合の連絡先を伝えます。以下の文面を、自社で決めた運用に合わせて調整してください。
「ファイル共有方法を見直し、今後は当社が指定する共有サービスのリンクで資料をお送りします。指定したメールアドレスでのサインイン等、本人確認が必要になる場合があります。貴社の受信ルールで利用できない場合は、別の共有方法を事前に調整いたしますので、担当者へお知らせください。」
取引先がリンクを開けない場合に、承認を得ず匿名公開へ切り替える運用は避けます。利用可能な代替手段、例外の承認者、再確認日を決めておくと担当者が迷いにくくなります。
RIKEN TOKYOでは、脱PPAPに関する相談から、代替手段の選定・設定・社内浸透まで支援しています。
| 支援内容 | 具体例 |
|---|---|
| 現状整理 | PPAPを使っている業務・部署の洗い出し |
| 設計 | OneDrive・SharePointの共有権限設計、ファイル転送サービスの選定 |
| 導入 | Microsoft 365の設定変更、社内ルールの整備 |
| 運用 | 取引先への案内文面の作成支援、社員向け説明 |
情報漏洩対策全体を見直したい方はランサムウェア対策｜中小企業がやるべき5つのこと、メールアカウントの保護については多要素認証（MFA）とは？もあわせてご覧ください。対策全体の優先順位に迷う場合は、中小企業のセキュリティ対策、何から始める？も参考になります。Microsoft 365全般のご相談はMicrosoft & DXページをご覧ください。
脱PPAPで押さえるべきポイントを整理します。
脱PPAPの進め方でお悩みの方は、RIKEN TOKYOにお気軽にご相談ください。現状の困りごとを伺ったうえで、無理のない進め方をご提案します。
業務・取引先ごとに利用状況を整理し、代替手段での受信テストが済んだものから計画的に切り替えます。取引先の禁止事項や契約条件がある場合は、その条件に合わせて対応してください。例外を残す場合も、担当者・承認者・見直し時期を決めます。
自社で承認した代替手段を提示し、相手側の受信ルールや本人確認方法を確認します。指定サービスが使えない場合は、取引先の共有環境や別の承認済み手段を相談し、切り替え時期を調整します。
OneDrive・SharePointを使える契約と社外共有の設定があれば、既存環境で対応できる場合があります。すべてのMicrosoft 365プランや設定で同じ機能が使えるわけではありません。必要な認証・期限・監査機能を整理して、利用権と追加費用の有無を確認してください。
相談できます。RIKEN TOKYOでは、情シス不在・兼任の中小企業でも進めやすいように、現状整理から代替手段の導入・社内浸透まで段階的に支援します。
共有終了時は、Microsoft公式の共有・アクセス許可の管理手順に沿って、リンクだけでなく直接付与された権限や親フォルダーからの権限も確認します。
