新しい添付ファイル送信方式
皆さんこんにちは。
プライバシーザムライ中康二です。

先日、「当社は暗号化ZIPファイル添付/パスワード別送(PPAP)をやめることにしました」という記事を掲載したばかりですが、そのPPAP方式が政治の世界で取り上げられて話題になっています。

・平井デジタル相が「デジタル改革アイデアボックス」を開設(10月9日)
・「PPAP(暗号化zipの添付廃止)」というアイデアが掲載される(10月10日)
・そのアイデアが最も高い評価を維持する
平井デジタル相が「政府としてのPPAP全廃」を発表(11月16日)

この流れは政府だけではなく、民間にも当然流れてくるわけです。
平井大臣の発表の直後に、こんな事がありました。

・JIPDEC/Pマーク推進センターが、PPAPについて「従来から推奨していない」と発表(11月18日)

「プライバシーマークの審査にはPPAP方式が必須」と考えていた多くの人々に、驚きを持って受け止められたようです。

ただし、全廃後どうするんだという話に関しては、平井大臣も「当面はパスワードを電話などで伝える」「アイデアボックスで募集する」などとしており、答えが出ていません。民間企業の皆さんの中でも、今後どうするべきかお困りの方が多いことと思います。

そこで、私プライバシーザムライが、現在考えられるPPAPの代替案を大胆に提案いたします。機密性の低いものからレベルを分けて説明しますので、是非ご覧になってください。
(0)添付ファイルは使わず、本文に必要事項を記載して送る

これ実は大事な話です。そもそもその添付ファイル必要ですか?ということです。

ミーティングの開催案内とか、面会記録とか、テキストで表現できるものは添付ファイルとせずに、本文に内容を記載して送信すればいいのです。
(1)機密性の低い場合はZIP暗号化せず、そのまま添付ファイルとして送る

次も大事な話です。そもそも電子メールに暗号化必要ですか?ということです。

電子メールはバケツリレー方式で送信されるからどんな管理者の元を通過するかわからない(メールの内容はハガキの裏面と同じで、配達員に見られるもの)と言われてきました。しかし、それは古い常識です。今やほとんどの電子メールは自社のメールサーバーから相手のメールサーバーに直送され、その間の通信はTLSで暗号化されています。また電気通信事業者には通信の秘密の義務もあります。本文も含めて電子メールの内容が漏れるようなことがあれば、大きなニュースになっていることでしょう。

自社のサービス案内、公開講座のプレゼン資料など、機密性が低いものについては、暗号化など行わずにそのまま添付ファイルとして送りましょう。
(暫定2)どうしても暗号化ZIPファイルを添付したい場合は、パスワードをメール以外の方法で送る

従来どおり暗号化ZIPファイルを作成して添付ファイルとして送信したい場合には、パスワードを、SNSのチャット機能/携帯のショートメッセージなど、メール以外の全く別の方法で送信する。パスワードはあらかじめ二者間で決めておけば、毎回変更しなくてもOK。

※これが暫定2となっている理由は、そもそも暗号化ZIPがウイルスフィルターを通過し、emotetなどで悪用されているため、世界的に見直されようとしているからです。
(2)機密性が中くらいのファイルは、旧宅ふぁいる便のような仕組みで送付する

ファイルサイズが大きいものや、社外秘の資料などについては、使い捨てURL/使い捨てパスワードのストレージサービス(旧宅ふぁいる便みたいなサービス)を使って送信する。URLもパスワードも同一メールで送信してよい。一定期間が過ぎるとサーバー上のファイルは削除する。
(3)機密性の高いファイルは、しっかりとした認証機能のついたストレージサービスなどで二者間共有する

個人データベースになるようなファイルとか、技術ノウハウ、未発表のリリース文など、機密性の高いものについては、しっかりとした認証機能付きのストレージサービス(例:Googleドライブ、Dropbox、Boxなど)上に置き、送付先にアクセス権を付与することでダウンロードしてもらうようにする。ただしこの方法では、先方がそのサービスのアカウントを持っているかなど、事前に合意と調整が必要となる。

いろいろ考えてみましたが、代替案としては、このようになるかなと思います。

これらを企業内で実践する際には、(2)(3)について、無料/有料いずれを利用するにせよ、社員に勝手に選ばせるのではなく、システム管理者が一定の指針を出して、どのサービスを利用するのか選定する必要があると思います(そうでないと新たなシャドーITを作り出してしまいます)。

参考までに当社では
(2)として「HENNGE Secure Transfer」(HENNGE Oneのライセンスに含まれているもの。本記事のタイトル画像がそれです)
(3)として「Googleドライブ」(Google Workspaceのライセンスに含まれているもの)
を利用する方針です。

皆様にとって何かの参考になればと思います。

また、新しい情報が入りましたら、皆様にシェアいたしますね。



●週に一回程度、更新情報をお届けします。
こちらからメールアドレスをご登録ください。
(まぐまぐのシステムを利用しています)