皆さんこんにちは。
プライバシーザムライ中康二です。
ここ10年間くらい、個人データや機密情報を社外に電子メールで送付する際に、暗号化ZIPファイルを作ってメールに添付し、別のメールでパスワードを送信する方法がよく利用されています。
そして、それを手処理で行うのではなく、自動的に全ての添付ファイルをそのように処理してくれるシステムがあり、多くの企業で採用されています。
ただし、この方法については「情報セキュリティ的に意味がなく、むしろ逆効果である」との指摘が多く寄せられています。
その指摘の趣旨を列記すると、
●直後にメールで自動的にパスワードを送るため、メールの内容が盗み見されている場合には解読できてしまう。
●暗号化ZIP圧縮すると解読できなくなり、ウイルス対策フィルターを通過してしまう。この方法が当たり前になることで、逆にウイルスが送り付けられるリスクが高まる。
●電子メールの伝達方法は、インターネット発足当初のような平文のバケツリレー方式ではなく、現在はメールサーバー間が直結かつ暗号化通信をしている場合がほとんどであり、伝達経路上での漏洩リスクはほとんどない。（もしそのリスクがあるのなら、添付ファイルだけでなく本文も暗号化しないとおかしい）
●解読が面倒であり、生産性を落としている。（日本だけの習慣という指摘も）
などがあげられます。
この方式に対する「もうやめようよ」の声は日増しに大きくなってきており、「PPAP方式」というおかしな名前まで付けられて、日本のなんちゃってセキュリティの象徴のように語られるようになってきました。
（提唱者：大泰司さんのプレゼン資料より）
話が長くなりました。
実は当社（オプティマ・ソリューションズ）でも、この暗号化ZIPファイル添付／パスワード別送方式（PPAP方式）を自動的に行うシステムを2013年から利用していたのですが、この度やめることにしました。
当社は「個人情報／機密情報を取り扱う企業の模範となる」ことを会社全体の目標にしています。そのために日々活動し、社内でもISMS／PMSを運用しています。
7年前には、よかれと思って導入したシステムですが、情報セキュリティの世界の常識はどんどん変わっていきます。まさにこのPPAP方式は、今、見直すべき時だと考えました。
今後はどうするかということについて、当社の場合は意外と簡単に答えが見つかりました。
●個人データ／機密情報を含まない場合はそのままファイル添付の機能を使用して送信する
●個人データ／機密情報を含む場合は、専用のファイル転送システムを利用して送信する
ということです。
ちなみに、当社が代替策として使用することにした「専用のファイル転送システム」というのは、
HENNGE Secure Transfer
というもので、従来から当社が契約していたシステムの中に入っていたのでした。
個人データ／機密情報を含むファイルを社外に送信する場合には、このシステムにアップロードし、そこで発行されるURLとパスワードをメールで送ることで、受信者はそのファイルをダウンロードできるという仕組みです。（昔懐かしい「宅ふぁいる便」みたいなイメージです）
というわけで、当社としては今後はこういう方法で添付ファイルを送ることにしますというご報告になります。
（追記）より高い機密性が求められるファイルを送信する場合には、パスワードをメールではない全く別の方法で送る／受信側にもしっかりとした認証機能があるストレージサービスを使用するなど、もっと上の対策を取る必要があります。
皆様にとって何かの参考になればと思います。
また、新しい情報が入りましたら、皆様にシェアいたしますね。
