脱PPAPとは？問題点から代替手段・移行手順までわかりやすく解説

パスワード付きZIPファイルとパスワードをメールで別々に送る「PPAP」は、多くの企業などで長年おこなわれてきました。しかしセキュリティ的なリスクや送受信の手間など多くの問題が指摘されており、現在では「脱PPAP」が必要とされています。

実際に多くの政府機関・民間企業が脱PPAPを実現している状況です。

この記事では脱PPAPとは何かといった基本から、PPAPの問題点やセキュリティリスク、PPAPの代替案についてわかりやすく解説しています。

PPAPのセキュリティリスクを避けるには、脱PPAPに関する適切な知識が必要です。本記事を読めば、自社でどのようにすれば脱PPAPを実現できるかが理解できます。

脱PPAPとは？ | 問題の多いPPAPをやめること

脱PPAPとは、PPAPと呼ばれるファイルの送信方法をやめることです。昨今では従来からおこなわれてきたPPAPに多くの問題点が指摘されており、ほかの方法に切り替えることが推奨されています。

そもそもPPAPとは「パスワード付きZIPとパスワード」をメールで別々に送る方法

PPAPとはパスワード付きZIPファイルをメールに添付して送信し、あとから別メールで解凍用のパスワードを送信する方法です。

この方法なら万が一パスワード付きZIPファイルが第三者の手に渡っても、それだけでファイルの中身まで漏えいしないと考えられていました。中身を参照するには、パスワードが必要になります。そのため、いずれか一方のメールが盗聴されても、「ファイル内のデータまで漏えいする不安はないから安心だ」と考えられていたのです。

このような特徴からPPAPは「安全なファイルの送信方法」として、以前まで、政府機関から企業まで幅広く採用されていました。PPAPは、以下の頭文字をつなげて略した言葉です。

なぜ脱PPAPが必要？PPAPの問題点とは？

以前は多くの企業・政府機関が利用してきたPPAPですが、昨今ではさまざまな問題が指摘されており、脱PPAPが必要と言われています。それでは、これまで広くおこなわれてきたPPAPにどのような問題があったのか、ひとつずつみていきましょう。

セキュリティ的な問題があり危険性が高い

PPAPは従来「安全なファイルの受け渡し方法」と考えられてきました。しかし昨今では、以下のように、多くのセキュリティ的な問題が指摘されています。

このようにPPAPにはセキュリティの面で多くの懸念点があり、現在では安全にファイルを送る方法と考えられていません。

昨今では、パスワード付きZIPファイル形式でメールに添付され送信されるEmotet(エモテット)というマルウェアの被害が多発したこともありました。パスワード付きZIPファイル形式で送られたファイルを安全と思い込み、十分に注意せず開いてしまうケースが続出したのです。Emotetの被害が大きくなった理由のひとつとして、多くの企業がPPAPに慣れていたこともあるといえるでしょう。

受信者側・送信者側の双方に負担をかける

PPAPでのファイル送受信には手順が多く、受信者側・送信者側の双方にとって負担になるのは否めません。PPAPでファイルを送受信する場合、受信者側・送信者側が以下の作業を余分におこなう必要があります。

PPAPはファイルの受け渡し方法として、効率的とは言えないのです。

誤送信による情報漏えいのリスクを軽減できるわけではない

PPAPは、誤送信による情報漏えいのリスクを軽減できる対策にはなりません。

以前はパスワード付きZIPファイルを添付したメールを誤送信してしまっても、それだけで情報漏えいにはつながらないと考えられてきました。PPAPではパスワードを記載したメールを別途送付するためです。

しかし実際には、2通のメールが立て続けに送られることが多く、2通目の送信時点で誤送信に気付く可能性が高いとは言えません。そのためPPAPでは、誤送信による情報漏えいを予防する対策として不十分なのです。

政府機関や大企業が続々と脱PPAPを宣言している

PPAPの問題点が指摘されるようになってから、政府機関・大企業が続々と脱PPAPを宣言しています。

なかでも端緒となったのが、2020年11月の政府による方針表明です。当時の平井デジタル改革担当大臣が、内閣府・内閣官房におけるPPAP廃止を発表しました。パスワードを同じ経路で送る方式はセキュリティ上不適切であり、受信者側の利便性も損なうことが理由として説明されています。

その後、政府機関では文部科学省や経済産業省などが脱PPAPを宣言し、クラウドストレージなどを使った代替案を利用すると発表しました。民間でも日立製作所・伊藤忠テクノソリューションズ・NTTデータなど大企業による脱PPAPの宣言が相次いでいます。

脱PPAPの流れは大企業にとどまりません。取引先から、「PPAPによるファイル送信は受け付けない」といわれることも十分に考えられます。上述のようにPPAPには多くの問題が指摘されていることもあり、中小企業も脱PPAPについて真剣に検討しなくてはならない時期にきていると言えるでしょう。

脱PPAPを実現するメリット

問題点の多いPPAPを廃止して、脱PPAPを実現するメリットは少なくありません。以下、具体的にどのようなメリットがあるかみていきましょう。

セキュリティのリスクが軽減される

PPAPによるファイルの受け渡しを続ける限り、データの盗聴やマルウェア感染などのリスクが高くなります。脱PPAPを実現し、安全な方法でファイルの送受信をおこなうように徹底することで、これらのセキュリティリスクを軽減できるのです。

ファイル送受信をスムーズにおこなえるようになる

PPAPによるファイル送受信は、暗号化・復号化の手順が加わるため手間がかかるのは説明した通りです。より簡便にファイルを受け渡しできる代替案に切り替えることで、ファイル送受信をスムーズにおこなえるようになります。

取引先の信頼性を得られる

脱PPAPを実現することで、取引先の信頼性を得られる可能性もあります。

取引先とファイルの受け渡しをするのにPPAPを続けていれば、セキュリティリスクが高い状態は自社だけでなく取引先も同じです。そのため脱PPAPによってセキュリティリスクを軽減できれば、その恩恵を取引先も受けられることになります。これによって取引先とともにセキュリティが強化され、信頼を高められるわけです。

脱PPAPを実現するための代替案　| どうやってファイル共有をする？

脱PPAPを実現するのに最も重要なのは、「代わりにどのような手段で相手側とファイルを共有するか」です。昨今では、より安全かつ簡単にファイルをやりとりできるサービス・方法が複数あり、自社に合った種類を選ぶことができます。

以下、実際にどのような手段があるかみていきましょう。

ファイル転送サービスを利用する

ファイル転送サービスとは、クラウド上のストレージを利用して相手へファイルを送信するサービスです。

ユーザーがクラウドストレージに相手へ渡したいファイルをアップロードすると、ダウンロード用URLが発行されます。送信先のユーザーがダウンロードURLへアクセスすると、目的のファイルを入手できるわけです。

宛先を誤った場合に、ダウンロードURLを削除できるサービスも多くなっています。そのためファイルの誤送信対策になる点もメリットです。

会員登録などが不要で簡単に使えるものもありますが、企業が使うのであればよりセキュアかつ簡単に使えるサービスが推奨されます。

※法人向けメールサービス「KAGOYA MAIL」にActive!Gateオプションを追加すると、ファイル転送サービスによるファイル送信の作業を簡単に自動化できます。

KAGOYA MAIL（Active!Gateオプション付）でメールにてファイルを送信したい場合、ユーザーは特別な操作をする必要がありません。いつもどおりメールにファイルを添付して送付するだけです。あとは自動的に添付ファイルが切り離されてサーバーに保存されるうえ、ダウンロード用URLが本文に挿入されます。ダウンロード用のパスワードも、別メールで自動的に送付されるので手間がかかりません。

ファイルダウンロード時の通信は、暗号化されており安心です。万が一誤送信が発生しても、送信者側で該当ファイルを削除したりダウンロードを一時停止したりすることもできます。

KAGOYA MAILの詳細については、以下URLでご確認ください。

＞KAGOYA MAIL | 月額定額で利用できるメールサーバー

ファイルとパスワードを別々の経路で送る

PPAPとそれほど手順を変えたくないのであれば、ファイルとパスワードを別々の経路で送る方法を検討するのも手です。

この方法では、従来通りパスワード付きZIPファイルの形式でメールに添付して送付します。そのうえでパスワードは別メールでなく、電話やチャットなど別経路で送るのです。

これにより悪意のある第三者が、メールとパスワード両方を取得するのが難しくなります。メール・パスワードを別経路で送ることから、仮にメールを誤送信してしまっても、パスワード送付時にそのことに気付きやすいでしょう。その点もPPAPと比較した際のメリットとはいえます。

ただし、この方法は以下のように注意点が多いことから、ほかの代替案に比べおすすめしにくいのは否めません。

「ほかの方法を準備するのに時間がかかる」「脱PPAPは今すぐに対応する必要がある」といった際、一時的に選ぶべき代替案といえるでしょう。

クラウドストレージを利用する

クラウド上のストレージにファイルを保存し、そこへアクセスするためのURLを相手へ送信する方法です。クラウドストレージ自体は暗号化されている場合がほとんどであり、柔軟にアクセス制限ができる種類が多くなっています。

この方法はメールで送るのはクラウドストレージへのURLだけなので、PPAPと違い盗聴によって情報が漏えいするリスクは低いです。相手がクラウドストレージへアクセスできる権限を持っていれば、PPAPに比べファイル送受信の手間もかかりません。また誤送信時には、URLを無効化するなどして、ファイルがダウンロードされるのを防げます。

一方でクラウドストレージを利用する場合、自社だけでなく取引先の運用体制にも注意が必要です。適切に管理されず不正アクセスを許してしまうと、最悪の場合はストレージ上の全データが漏えいしてしまうことも考えられます。

チャットツールやグループウェアを利用する

チャットツールやグループウェアを導入し、そこでファイル共有をする運用に変えるのも手です。チャットツール・グループウェアなら、コミュニケーションがスムーズにすすむうえに、安全にファイル共有もおこなえます。ツールの使い方に慣れていれば、ファイル共有も簡単で手間もかかりません。

※ビジネスチャット「KAGOYA Chat」ならユーザー数無制限・月額7,700円の定額で利用できます。外部ユーザーを何名招待しても利用料金は変わりません。KAGOYA Chatの詳細については、以下URLで確認ください。

ZIP以外の方法でファイルを暗号化する

PPAPで使われるパスワード付きZIP以外の方法で、ファイルを暗号化する運用に変える代替案もあります。

具体的によくあげられるのは、代表的なメール暗号化方式であるS/MIMEに対応する方法です。S/MIMEであれば電子署名と呼ばれる技術をつかうため、なりすましや改ざんがおこなわれていないことも証明できます。

ただしS/MIMEは送信側だけでなく受信側も対応する必要があり、ハードルが高いのは否めません。ファイルのやりとりを含めメールをセキュアに使える方法ではありますが、あまり普及していないのが正直なところです。

脱PPAPで選ぶべきでない代替案とは？

脱PPAPが重要とはいえ、以下のような代替案を選んでしまうと、かえってセキュリティリスクが増してしまうので注意ください。

方法	概要
不特定多数が利用する無料のクラウドストレージ	クラウドストレージ自体は脱PPAPの代替案として有効です。 しかし不特定多数が利用する種類では、暗号化やアクセス制限などの品質が十分とは言えません。
ダウンロードリンクの生成	たとえば自社Webサイト用の領域などに専用スペースを確保し、ダウンロード用のURLを生成する方法です。 この方法はダウンロード用URLをメールなどで知らせるなら盗聴のリスクが残ります。 またサーバー側のセキュリティ（暗号化・アクセス制限など）もしっかりおこなわなければならず、ほかの方法に比べコストが高くなる可能性も高いです。
運営元が不明確なサービスの利用	手軽にファイル共有が可能なサービスは複数ありますが、必ずしも運営元がしっかりしているとは言えません。 脆弱性をつかれるなどして、データが漏えいするリスクも高くなるので避けた方がよいでしょう。
更新が滞っているプラットフォームの利用	運営元が安心でも、プラットフォームの更新がとまっていれば、脆弱性への対応ができていない可能性が高いです。 結果、プラットフォーム自体が攻撃され、情報が漏えいしてしまうリスクも高まります。
暗号化されないサービス	データが暗号化されずに送受信されるのであれば、盗聴のリスクが高まってしまいます。 暗号化の有無は、脱PPAPの代替案を選ぶ際に必ずチェックしましょう。

上記のようなサービス・方法は避け、セキュアで安心な代替案を選びましょう。

脱PPAPを実現する移行方法

脱PPAPを実現するには、どのような手順で移行をすすめればよいでしょうか。ここでは脱PPAPをすすめる際の一般的な移行方法をみていきましょう。

1.社内で利用しているファイル共有方法を棚卸しする

まずは社内でどのような方法でファイル共有をしているか棚卸しをしましょう。具体的には、以下の内容を調べてまとめます。

棚卸しをすることで、脱PPAPを適切にすすめやすくなります。

2.自社に適した代替案を選定する

棚卸しの結果にもとづいて、自社に適した代替案を選定します。具体的には、以下の点を検討し代替案を選定しましょう。

これらの条件を満たし「従業員が実際に使い続けられるか」を検討することが重要です。

3.社内の運用ルールを取り決め周知する

代替案を決定・準備できたら、社内の運用ルールを決めて周知しましょう。具体的には、以下のような内容について取り決め、社内に周知します。

必要に応じて自社用のマニュアルを用意したり、研修会・勉強会を設けたりします。

しっかりした代替案があっても、運用ルールが曖昧だったり守られなかったりしたらセキュリティリスクは軽減されません。運用ルールの周知は代替案導入直後だけでなく、定期的におこないルールの徹底を図る必要があります。

4.取引先に通知する

次に取引先へ、ファイル共有方法を変更することを通知します。連絡なしで突然変更すると、取引先を混乱させてしまい、自社だけでなく取引先の業務にも影響してしまう可能性があるので注意しましょう。

取引先に通知をする際は、脱PPAPの重要性やセキュリティが高まること、生産性が向上することなども伝えると理解を得やすいです。

5.段階的に移行する

最初から全社的に移行すると、社内が混乱する可能性が高まります。

まずIT担当者・情報システム部内などの少人数で試験的に運用をおこない、問題点がないか従業員が迷いやすい点がないか確認しましょう。そのあと、一部の部署から徐々に展開し最終的に全社的な移行を目指します。

このように段階的に移行することで社内の混乱をおさえられるうえ、代替案を定着させやすくなるでしょう。

脱PPAPに関わるよくある質問

PPAPによるファイル送受信は、企業や官公庁などで長くおこなわれてきました。そのため、脱PPAPについて疑問を持っている方も少なくないでしょう。

ここでは脱PPAPについて、よくあげられる質問をみていきましょう。

そもそもPPAPは「意味がない」と言われる理由はなんですか？

安全にファイルを送受信することを目的にPPAPを導入しても、実際のところセキュリティリスクが軽減されないためです。PPAPには、以下にあげるセキュリティ上の懸念点があります。

PPAPはこのようにセキュリティリスクがあるほか、ファイルの暗号化・復号化などに手間がかかる点も問題です。セキュリティを強化し、従業員の負担を軽減するためにも代替案を検討しましょう。

脱PPAPの動きはいつから大きくなったのですか？

脱PPAPの動きが大きくなったきっかけは、2020年11月に平井デジタル改革担当大臣（当時）が内閣府・内閣官房でのPPAP廃止を表明したことです。この表明を受け、脱PPAPの動きが民間企業にも波及していきます。

それまでも、セキュリティ専門家の間ではPPAPの危険性が指摘されていました。実際、当時からPPAPの問題が表面化していたのです。たとえばPPAPは、パスワード付きZIP圧縮ファイルの形式で送付されるEmotetというウイルス被害が広がる原因のひとつになっていました。

脱PPAPで取引先に迷惑をかけてしまいますか？

脱PPAPを実現する時点では、取引先の協力も必要かもしれませんが、長い目でみればPPAPを続けることは取引先にとってもリスクがあります。

脱PPAPの動きは民間企業でも広がっており、このままPPAPを続けると業務に支障が生じるリスクが高いためです。脱PPAPを実現済みの企業では、パスワード付きZIPファイルの送付を受け付けてくれない可能性もあります。

取引先が渋る場合は、PPAPのセキュリティリスクやPPAPを続けることによる懸念、脱PPAPのメリットなどを説明しましょう。

脱PPAPを実現する法的な義務はありますか？

記事執筆時点（2026年8月）で、民間企業においてPPAPを廃止する法的な義務はありません。しかしPPAPによるファイル送受信を拒否する企業が増えており、このまま続ければ業務に支障をきたす可能性が高いです。

また個人情報・機密情報を取り扱う企業では、関連法令やガイドラインに基づき適切なセキュリティ対策が求められています。PPAP継続がきっかけでセキュリティ的な事故・被害が生じた場合、適切な措置を怠っていたとみなされる可能性は否定できません。取引先や顧客からの信頼を失ってしまう可能性もあります。

まとめ

脱PPAPは、単に「パスワード付きZIPをやめる」だけではありません。PPAPが抱えるセキュリティリスクや業務上の負担を把握し、自社に適した安全で効率的な代替案を実現することです。

ファイル転送サービスやクラウドストレージの利用などの代表的な代替手段を検討し、自社に合った方法を選びましょう。

法人向けメールサービス「KAGOYA MAIL」にActive!Gateオプションを追加すると、簡単に脱PPAPを実現できます。送信者がメールにファイルを添付して送付すれば、自動的に添付ファイルがサーバーに保存されるので手間もかかりません。

KAGOYA MAILの詳細については、以下URLでご確認ください。