皆さんこんにちは。
プライバシーザムライ中康二です。

先日、「当社は暗号化ZIPファイル添付／パスワード別送(PPAP)をやめることにしました」という記事を掲載したばかりですが、そのPPAP方式が政治の世界で取り上げられて話題になっています。

・平井デジタル相が「デジタル改革アイデアボックス」を開設（10月9日）
・「PPAP(暗号化zipの添付廃止)」というアイデアが掲載される（10月10日）
・そのアイデアが最も高い評価を維持する
・平井デジタル相が「政府としてのPPAP全廃」を発表（11月16日）

この流れは政府だけではなく、民間にも当然流れてくるわけです。
平井大臣の発表の直後に、こんな事がありました。

・JIPDEC／Pマーク推進センターが、PPAPについて「従来から推奨していない」と発表（11月18日）

「プライバシーマークの審査にはPPAP方式が必須」と考えていた多くの人々に、驚きを持って受け止められたようです。

ただし、全廃後どうするんだという話に関しては、平井大臣も「当面はパスワードを電話などで伝える」「アイデアボックスで募集する」などとしており、答えが出ていません。民間企業の皆さんの中でも、今後どうするべきかお困りの方が多いことと思います。

そこで、私プライバシーザムライが、現在考えられるPPAPの代替案を大胆に提案いたします。機密性の低いものからレベルを分けて説明しますので、是非ご覧になってください。

（０）添付ファイルは使わず、本文に必要事項を記載して送る

これ実は大事な話です。そもそもその添付ファイル必要ですか？ということです。

ミーティングの開催案内とか、面会記録とか、テキストで表現できるものは添付ファイルとせずに、本文に内容を記載して送信すればいいのです。

（１）機密性の低い場合はZIP暗号化せず、そのまま添付ファイルとして送る

次も大事な話です。そもそも電子メールに暗号化必要ですか？ということです。

電子メールはバケツリレー方式で送信されるからどんな管理者の元を通過するかわからない（メールの内容はハガキの裏面と同じで、配達員に見られるもの）と言われてきました。しかし、それは古い常識です。今やほとんどの電子メールは自社のメールサーバーから相手のメールサーバーに直送され、その間の通信はTLSで暗号化されています。また電気通信事業者には通信の秘密の義務もあります。本文も含めて電子メールの内容が漏れるようなことがあれば、大きなニュースになっていることでしょう。

自社のサービス案内、公開講座のプレゼン資料など、機密性が低いものについては、暗号化など行わずにそのまま添付ファイルとして送りましょう。

（暫定２）どうしても暗号化ZIPファイルを添付したい場合は、パスワードをメール以外の方法で送る

従来どおり暗号化ZIPファイルを作成して添付ファイルとして送信したい場合には、パスワードを、SNSのチャット機能／携帯のショートメッセージなど、メール以外の全く別の方法で送信する。パスワードはあらかじめ二者間で決めておけば、毎回変更しなくてもOK。

※これが暫定2となっている理由は、そもそも暗号化ZIPがウイルスフィルターを通過し、emotetなどで悪用されているため、世界的に見直されようとしているからです。

（２）機密性が中くらいのファイルは、旧宅ふぁいる便のような仕組みで送付する

ファイルサイズが大きいものや、社外秘の資料などについては、使い捨てURL／使い捨てパスワードのストレージサービス（旧宅ふぁいる便みたいなサービス）を使って送信する。URLもパスワードも同一メールで送信してよい。一定期間が過ぎるとサーバー上のファイルは削除する。

（３）機密性の高いファイルは、しっかりとした認証機能のついたストレージサービスなどで二者間共有する

個人データベースになるようなファイルとか、技術ノウハウ、未発表のリリース文など、機密性の高いものについては、しっかりとした認証機能付きのストレージサービス（例：Googleドライブ、Dropbox、Boxなど）上に置き、送付先にアクセス権を付与することでダウンロードしてもらうようにする。ただしこの方法では、先方がそのサービスのアカウントを持っているかなど、事前に合意と調整が必要となる。

いろいろ考えてみましたが、代替案としては、このようになるかなと思います。

これらを企業内で実践する際には、（２）（３）について、無料／有料いずれを利用するにせよ、社員に勝手に選ばせるのではなく、システム管理者が一定の指針を出して、どのサービスを利用するのか選定する必要があると思います（そうでないと新たなシャドーITを作り出してしまいます）。

参考までに当社では
（２）として「HENNGE Secure Transfer」（HENNGE Oneのライセンスに含まれているもの。本記事のタイトル画像がそれです）
（３）として「Googleドライブ」（Google Workspaceのライセンスに含まれているもの）
を利用する方針です。

皆様にとって何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。