PPAP問題を解決するOutlookアドイン「BMail」を公開しました

BMailのホームページをご覧いただきありがとうございます。BMail開発者の「サイタマン」と申します。このブログページでは主に開発情報を発信していきますのでよろしくお願いいたします。

このたび、Outlookの添付ファイルをOneDrive経由で送るアドイン「BMail」のVer.1.0リリースいたしました。BMailは今話題となっている「PPAP問題」を解決するために開発したソフトウェアです。そこで、はじめにPPAP問題について解説した上で、BMailの特長をご紹介します。

PPAP問題とは

これまでは機密情報や個人情報の含まれた重要なファイルを外部の方に送る方法として「ファイルをパスワードつきZipで暗号化し、その解凍パスワードメールを別で送る」という方法が日本企業のスタンダードとなっていましたが、この運用が問題だと言われるようになりました。それがPPAP問題です。


PPAP問題とは以下の略で、ピコ太郎の「PPAP」になぞらえて作られた用語です。

P…Passwordつき暗号化ファイルを送る
・P…Passwordを送る
・A…暗号化する
・P…Protocol(規約)

最後の「P」が少し強引な部分ではありますが、現在はこの呼び名が定着しているものとなっています。

余談ですが、PPAPにはSDSs(Subjective Deficit Syndrome Scale)の推進大使として、SDGs版PPAP(Public Private Action for Partnership)も発表し、国内でのSDGsの知名度向上にも貢献しています。ピコ太郎さんの社会貢献度、半端ないですね。。

PPAPがなぜ問題なのか

ではこのPPAP運用がなぜ問題と言われているのでしょうか?その理由は以下の3つです。

メール送信の効率が下がる

PPAPでは上述の通り、ファイルをZipにパスワードして圧縮して添付、さらにパスワードを別送するという方法を使います。一報、受け手はパスワードメールを受け取った後、はじめのメールに添付されたZipファイルを回答してパスワードを取得することでやっとファイルが取得できます。

メールで添付ファイルを送るのは日常茶飯事ですが、都度、この作業を行うのは双方にとって効率が悪いものとなっています。

セキュリティ効果がない(誤送信やメール盗聴対策にならない)

また、このPPAPの運用はもともと誤送信対策として行うのための方法でしたが、「意味がない」と指摘されています。パスワードを別送する理由は「仮に宛先を誤ってファイルを送ってしまったとしても、パスワードを送らなければ中身を見ることができないから」というものです。しかしながら、パスワードメールも連続で送信することからその段階で宛先の誤りに気づくケースは結局少ないと指摘されています。また、上記の効率低下の問題を解決するために、ファイルを自動でパスワード圧縮する作業や、パスワードメールの送信作業を自動化する仕組みを取り入れている企業も多く、なおさら意味がないと言われています。

何を隠そう私も「OMail」というフリーソフトを公開していました(現在は公開停止)。これはOutookの添付ファイルを自動でZipパスワード暗号化し、そのパスワードメールも自動で別送することもできるというツールです。2009年に出して約10万ダウンロードの実績があったため、PPAP問題の2%ぐらいは私のせいかもしれません…

また、仮にファイルの送信先の誤りがないかを確認した後にきちんとパスワードを送る運用をしたとしても、「メール盗聴の問題」は解決できないという問題もあります。外部に送信するメールはインターネット上の複数のメールサーバーを経由して相手のPOP(またはSMTP)サーバーに届きますが、メールの中身は暗号化されていません。そのため、メールの中継サーバー等の送信経路内にパケットキャプチャソフトを仕掛けることでメールや添付ファイルの中身を盗み見することが可能となっています。

もしこの方法を使われた場合、ファイルを添付したメールとパスワードを記したメールを両方盗聴されてしまうことから、結局、ファイルの中身を暴かれてしまうことになります。

以上の理由から、PPAP運用はセキュリティ対策として意味を成していないということになります。

マルウェアの感染リスク

また、最近ではマルウェアの問題もあります。「Emotet(エモテット)」、最近では「IcedID(アイスドアイディー」と呼ばれるマルウェアが流行していますが、これらのマルウェアはパスワードZipで添付したメールで送るという手法がとられています。ゲートウェイやメールサーバーに設置したマルウェア対策製品ではZipファイルを解凍することができず、ウイルスチェック検知・検疫機能をすり抜けることができるためです。

この問題を解決するために、パスワードZipを受け取らないという対策がありますが、多くの企業がパスワードZipを使ったPPAP運用をしていることから、特に問題になっています。

PPAP問題がなぜ話題となっているのか

PPAPと呼ばれるようになったのは最近ですが、実はPPAPの問題自体は2011年頃から指摘されていました。これが最近になって特に問題視されているのは、上記のマルウェアが流行した事と、「デジタル改革アイデアボックス」のニュースが話題となったためです。デジタル改革アイデアボックスとは、経済産業省が実施している専門家をはじめ全ての国民がデジタル改革の進め方等についてインターネットで投稿できるサービスです。2020年10月に実施されましたが、開始1ヶ月で1番多かった意見が「PPAPの廃止」となっていたことから、平井デジタル改革担当相は2020年11月17日の定例会見で、霞が関の職員でこのPPAP運用を廃止する旨を発表し、このニュースが話題となりました。

https://www.itmedia.co.jp/news/articles/2011/17/news150.html

また、この翌日の2020年11月18日にはクラウド会計ソフトを提供するfreeeが「原則、パスワード付きZIPファイルを受信しない」という発表をしました。

https://corp.freee.co.jp/news/filepassword_abolished.html

なお、SNS等では「PPAPはプライバシーマークの審査基準ではなかったのか?」と疑問の声も上がりましたが、運営しているIPDECでも2020年11月18日にPPAPは推奨していない旨を明記しています。

https://privacymark.jp/news/system/2020/1118.html

最近では大手企業の日立製作所もPPAP全面廃止を発表しているなど、PPAP問題に本腰を上げる企業が徐々に増えています。反面、PPAPを続けている企業もまだ多く残っています。現状では「PPAP運用はしない」「パスワードZipは受け取らない」というニュースはあっても、今後のファイル送信の運用をどのように変更するかまで言及はされていません。(平井デジタル改革担当相は霞が関職員でクラウドストレージを使うと発表していますが、詳細な運用方法までは公表されていません。)そのため、PPAPが問題だとわかっていながらも「具体的にどうすれば解決できるのかわらかない」という理由で運用見直しに踏み出せない企業も多いのではないでしょうか。

PPAPの代替案

では、PPAP問題を解決するにはどのような代替手段が考えられるでしょうか。現状考えられる選択肢は以下のとおりです。

平文のまま送信する

「パスワードつきZip圧縮をせず、そのまま送ってしまう」という選択肢も1つとして考えられます。「何を言うか」と思われるかもしれませんが、今のPPAP運用が非効率かつセキュリティの意味を成さないのであれば、そのままファイルを送ったほうがましです。また、効率面で言えば1番効率の高い方法となります。しかしながら当然、本来PPAPの運用で解決したかった「誤送信」や「メール送信経路での傍受」という問題は解決できません。

S/MIMEに対応したメールシステムを導入する

S/MIME(Secure / Multipurpose Internet Mail Extensions)とは、電子メールの暗号化方式のひとつで、電子証明書を用いてメールの暗号化を行う方式です。メールの内容が暗号化されることからメールの不正傍受対策の他、フィッシング詐欺などのなりすまし対策もでき非常にセキュリティが高くなります。S/MIMEはOutlookや最近ではGmailなどの主流なメールソフトも対応していますが、受信する側のメールソフトもS/MIMEに対応していることに加え、送り先ごとに共通鍵で設定してもらう必要があることから、すべての送り先にこの方法を使うのは難しい方法となっています。

チャットサービスを利用する

ChatworkやSlack、Microsoft Teamsのようなサービスを導入して、ファイルを送信する方法です。httpsプロトコルで暗号化した状態でファイルの送受信ができ、かつ間違って送信した場合も削除することですぐに取り消すことが可能です。しかしながら、受け手側にも同システムを導入している必要があることから、すべての送り先でこの運用することは難しい方法となっています。

クラウドストレージを利用する

送りたいファイルをOneDriveやDropboxなどのクラウドストレージ上にアップし、そのファイルに対して共有ダウンロードURLを案内する方法です。もし宛先を間違えた送信した場合も、クラウドストレージ上からファイルを削除することで取り消すことができます。独自のデメリットとして「ダウンロードURLを総当り等の方法でみつけることで、第3者が不正にダウンロードできてしまうリスク」がありますが、One Driveなどの一部クラウドストレージではダウンロード用にパスワードを設定することができたり、ダウンロードできる期限を設定する機能がありますので、これらを使うことでリスクを軽減することができます。

ファイル送信サービスを利用する

また、ファイル送信専用のサービスを使う方法もあります。有名所としては無料で大容量ファイルが遅れる「Giga file便」や、セキュリティで評判のお高い「クリプト便」などがあります。(「宅ふぁいる便」はサービス停止となってしまいましたが企業向けの「オフィス宅ふぁいる便」は今も健在です。)ファイル送信サービスもクラウドストレージの送る専用版のようなものですので、メリット・デメリットもほぼ同様です。しかし、サービスによってはアップロードしたファイルを削除できない、ファイルを永続的に残せないものもあります。

その他の対策としては、「CDやDVD等のメディアに焼いて送る」などの方法も考えられます。外部に機密情報や個人情報のファイルをやり取りすることが多くない場合はこの運用も可能ですが、多くの企業では難しいであろうことからこの選択肢は除いています。

どの対策が1番良いのか

これら各選択肢を比較した結果は以下のとおりです。

選択肢代表的なサービス 効率 安全性汎用性
平文のまま送信する
S/MIMEに対応したメールシステムを導入するOutlook
Gmail
チャットサービスを利用するChatwork
Slack
Micrsoft Teams
クラウドストレージを利用するDropbox
OneDrive
Google Drive
ファイル送信サービスを利用するGiga file便
クリプト便
オフィス宅ふぁいる便


「効率」は設定の手間によって3段階で評価しました。また、「安全性」は送信するファイルや誤送信対策となる場合は○、パスワードの傍受対策にもなる場合は◎、どちらもない場合は✕とし、「汎用性」はどの送り先にも使える場合は○、そうでない場合は✕としました。

ご覧いただければわかる通り、「絶対にこれが1番」という対策はありません。どれも優れている点、劣っている点があるため、それを踏まえた上で最適な方法を考える必要があります。例えば、ファイルの重要度や、送り先の使っているソフトウェアに応じて使い分ける方法が考えられます。公にも公開されている情報など秘匿の必要がないファイルは平文で送る、そうでない場合は、S/MIMEかチャットサービスが使えるならそちらを使用、そうでなければクラウドサービスかファイル送信サービスを使うというような方法です。しかし、複数のサービスを組み合わせて使うと運用が複雑で効率が悪くなり、送信ファイルの所在もバラバラになることから管理が面倒になります。

どれか1つに対策を絞るのであれば、クラウドストレージかファイル送信サービスで統一することをおすすめします。これらはどの送り先でも使うことができ、かつセキュリティ向上も見込めるからです。ダウンロードURLやパスワードは別途メールで送る必要があるため、メールの盗聴対策リスクは残りますが、この問題についてはある程度運用でカバーすることもできます。例えばパスワードを「送り先の担当者の電話番号」のような送り手と送り先しか知らない情報にする方法です。また、ファイルと同時にパスワードを送るのでなく、その会社と取引が始まった時点でパスワードを送っておき、ファイルを送る際は「パスワードは前回送ったパスワードです」と案内する方法でも盗聴リスクを軽減できるでしょう。ただ、これまでのメール送信運用と比べ「効率が下がる」というデメリットは残ってしまいます。そこで、このメールの添付ファイルする間隔でクラウドストレージ送信ができるソフトウェアを開発しました。それがBMailです。

PPAP対策ツール「BMail」の特長

BMailは上記「クラウドストレージ」の運用を前提にしたソフトウェアです。具体的にはMicrosoftのクラウドストレージ「OneDrive」を使います。メールソフトはOutlookを使います。以下の機能で多くのPPAPの問題を改善することができます。

OneDrive経由で効率よくファイル送信ができる

BMailでは、Outlookのアドインとなっており、Outlookから以下の操作でファイルを送ることができます。

1.添付ファイルがある状態で「送信」ボタンを押す
 →自動で添付ファイルをOneDriveにアップロードし、そのダウンロードメールをURLを送ります。

2.メールの作成画面にて「アップロード」ボタンを押す
→送信前にアップロードしてURLを取得することもできます。

1の方法はパスワードも自動で送る方法で、送信者にとっては便利ですが、受け取り側にとってはメールが2通になるので、ファイルの取得が手間というデメリットがあります。その場合は、2の方法で、事前に添付ファイルをアップロードしておき、URLを1通のメールにまとめて送る運用も可能です。いずれの場合もボタン1つでアップロードができるようになっています。

誤送信対策

また、BMailではパスワードは自動で送りつつ誤送信対策もできるようになっているのが特長となっています。もし、宛先を間違って送信してしまった場合、以下の履歴画面からクラウドストレージ上にアップしたファイルを削除し、ダウンロードできないようにすることができます。

Zip圧縮せずにパスワードが設定できる

また、OneDrive for Business(Microsoft 365付属のOneDrive)のアカウントを使っていただければ、ダウンロード専用パスワードを付与することもできます。パスワードを付与すると、ユーザーがダウンロードする際に以下の画面となり、パスワードを使ってしかダウンロードできなくなります。Zipの解凍パスワードではないので、企業ポリシーにより受け取れないという心配もありません。

その他、ダウンロードの有効期限を設定することもできます。詳しくは使い方をご覧いただければと思います。

メールの傍受対策 ※Ver.1.1で追加

ダウンロードURLとパスワード両方をメールで送る場合、メールの送信経路上で不正にメールを読み取られることで、パスワードが傍受されてしまうリスクがあります。BMailではパスワードを「前回と同じパスワード」「電話番号の下4桁」といったような受け手にしかわからない情報に置き換えて送ることができます。

無償でも利用できる

BMailは完全無料で使えるFREE版と、いくつか機能追加したPRO版を用意しています。FREE版とPRO版と違いについてはPRO版の機能をご覧いただきたいのですが、ほとんどの機能はFREE版で利用可能です。なお、PRO版も1ライセンス2,000円となっています。年間費用などではなく、買い取り型ライセンスとなります。

注意点

詳しい手順はインストールに記載していますが、もし、企業(組織)のOneDriveアカウントと連携したい場合は、企業ドメインの管理者アカウントでアプリケーションのアクセス許可の作業が必要になります。そうしないと企業内のOneDriveにアクセスできません。

ですので、まずは自身の個人のOneDriveアカウントにて試用いただいた上、有用そうであれば企業アカウントで利用いただけたらと思います(個人のOneDriveでご利用する場合、企業の機密のファイルなどをアップロードしないようお気をつけください!)

PPAP問題でお悩みの方はぜひこちらよりダウンロードいただければ幸いです!