株式会社ISOサポートです。
少し前の話になりますが、
ネット上で「PPAP」が話題になったことをご存知でしょうか？
「PPAP」と聞いて、
ピコ太郎さんの「ペンパイナッポーアッポーペン」を思い出された方も少なくないでしょう。（懐かしいですね笑）
PPAPとは、
一般財団法人日本情報経済社会推進協会（JIPDEC）の大泰司章さんが命名した略語で、
・Passwordつきzip暗号化ファイルを送ります
・Passwordを送ります
・Aん号化（暗号化）
・Protocol
のことです。
添付しようとしているデータをパスワード付きzipファイルに圧縮してから、
メールの添付ファイルとして送信し、
別のメールでzipファイルの解凍用パスワードを送信する手順のことで、
皆さんも経験したことがあるのではないでしょうか。
このような、ビジネスの世界で広く利用されてきた手法が、
突如、ネット上を騒がせたのは、
日立製作所が2021年度から、メールへの暗号化ファイルの添付を社内で禁止とすることが明らかになったことに端を発しています。
しかしなぜ、PPAPが広く活用されるようになったのでしょうか？
PPAPが活用されるようになった背景には、
インターネットの世界では、通信が暗号化されてこなかった点が一因にあります。
メール本文も、添付ファイルも、
悪意のある第三者が盗み見ることが可能だったわけですね。
そんな折、
プライバシーマーク（Pマーク）認証の審査項目に、
「メール送信時の個人情報を含む添付ファイルに対するセキュリティ対策」が含まれるようになりました。
悪意のある第三者から盗み見られることを防止するのであれば、
パスワード付きzipファイルの解凍用パスワードをあらかじめ送信側・受信側で合意しておく、
電話やFAX等、メールとは別の手段でパスワード付きzipファイルの解凍用パスワードを送信するといった手法を採用すべきだったのでしょうが、
担当者が失念してしまうリスクや、手間がかかってしまうことにより、一般化しませんでした。
一方、
個人情報を含む添付ファイルをパスワード付きzipファイルとして送信することにより、
万が一、誤送信してしまった場合には、
解凍用パスワードを送信しなければ、リスク対策として有効であるともいえることから、
プライバシーマーク（Pマーク）審査時にセキュリティ対策として認められたため、
PPAP方式を採用する企業が急増しました。
これに対して、プライバシーマーク（Pマーク）付与機関であるJIPDECは、
「（PPAP方式を）従来から推奨していない」旨の見解を述べています。
（JIPDECホームページより抜粋）
では、PPAP方式に替わる代替策はあるのでしょうか？
①そのまま添付ファイルとして送信する
ひと昔前であれば、通信経路が暗号化されていない状況も広くみられていましたが、
最近では通信経路が暗号化されていることのほうが多くなっています。
これを鑑みれば、そのまま添付ファイルとして送信することも代替策として検討に値するかもしれません。
②外部ストレージサービスを用いて共有する
たとえばGoogle Driveといった外部ストレージサービスを用いて共有領域を設定しておけば、
悪意のある第三者から盗み見られることを避けることができます。
また、誤送信のリスクも軽減することができるでしょう。
③グループウェアを用いて共有する
たとえばSlackやChatworkといったグループウェアを活用することによって、
グループウェアに招待された人だけの閉じられた空間で情報交換をすることができます。
こちらも誤送信した場合には、ファイル自体を削除するなどして情報漏えいリスクを軽減することができるでしょう。
④電子契約・請求サービスを用いて共有する
たとえばクラウドサインや会計freeeといった電子契約・請求サービスを活用することによって、
個人情報を含む契約書や請求書を添付ファイルとして送信するシーンをなくすることができます。
同時に、紙媒体の契約書や請求書の紛失リスクを軽減することができるでしょう。
脱PPAPを促進したいが、
自社にとってどのような方法が最適なのか分からないですとか、
プライバシーマーク（Pマーク）の規程文書への反映が不安ですと感じておられるようでしたら、
株式会社ISOサポートの
プライバシーマーク（Pマーク）認証取得＋取得後サポートコンサルティングはこちらをご覧ください。 
