PPAPについて

【情報セキュリティコンサルタントによる解説と見解】

平井卓也デジタル改革担当相は2020年11月17日に開かれた定例会見にて、中央省庁の職員が文書などのデータをメールで送信する際に使うパスワード付きZIPファイルの送信ルール（以下、「現行ルール」と言う。）を廃止する方向で検討を進めると明らかにしました。
そして、これを受けたJIPDECが「お知らせ」で「送信先や取り扱う情報等を踏まえ、リスク分析を行ったうえで、必要かつ適切な安全管理措置を講じることで、必ずしもパスワード付圧縮ファイルで送付する必要はない」とする見解を示しました。
政府WAN・LGWANは、経路がVPNになっており、LGWANから外への転送を禁止すれば、個別のメールを暗号化する必要がない中央省庁の環境と、Pマークを取得している一般の事業者を並列に論じてよいものか、また、「現行ルール」に代わる有効な対応策が示されない中で、廃止するという極論を選択すべきなのか、Pマーク新規取得・更新支援など、認証コンサルティングという分野において、日本を代表する情報セキュリティーカンパニーを目指す当社として看過するべきではないとの考え方から、当社の考え方を以下に示します。
平井担当相の指摘は、攻撃者がメール添付したファイルを復号化するには、メールという単一の要素を攻撃すればよいこととなり、手間をかけてzipファイルを暗号化したとしても「セキュリティレベルを担保するための暗号化ではない」という考え方であると推察します。当社も、これを否定はいたしませんが、暗号化は、可搬可能なノートPC等にワイヤーロックを求めていることと同様、全く意味がない訳ではありません。
セキュリティ対策として機能させるためには、「十分長くて複雑なパスワード」を、「メール以外の経路で伝達する」こととが考えられますが、運用が複雑化し、形骸化してしまう恐れが生じます。
そこで、当社は有効で実行性のある「ファイル送信手段の安全管理措置」、「誤送付対策」が確立するまでの間は、一定程度の効果が期待できる現行の方式を継続することを推奨いたします。

▼平井卓也デジタル改革担当相は2020年11月17日に開かれた定例会見
https://cybersecurity-jp.com/news/45802

▼JIPDEC「お知らせ」
https://privacymark.jp/news/system/2020/1118.html

【PPAPの代替策】

PPAPが非推奨になったとして、ではどうすればいいのでしょうか？
プライバシーマークの根拠規格であるJISQ15001を策定して野村総研がPPAPへの批判
・ファイル送信の安全管理措置
・誤送信防止措置
について、見解を整理しています。

ファイル送信の安全管理措置

誤送信防止措置

【STARTTLSを使う】

機密性の確保という観点からは、前項で紹介したS/MIMEやファイル転送サービスは有効なのですが、S/MIMEを使うには、あらかじめ電子証明書を取得し、送受信者が電子証明書をやり取りしておく必要がありますし、ファイル転送サービスも面倒です。
面倒な安全管理措置は、実施が徹底されずに却ってぜい弱になります。
もうひとつの対策として、「STARTTLSを使う」という方法があります。
STARTTLSは、メール送信者の端末からメール受信者のサーバまで暗号化します。
東京から大阪までメールすると、通常シンガポール経由で届くのですが、シンガポールの経由サーバの管理者が悪意の盗聴者であっても、メールの中を読むことはできません。

そのためには、以下の条件が必要です。

・送信者がSMTPS（SMTP over SSL）を使う
・送信者サーバと受信者サーバがともにSTARTTLSに対応している
（一部の携帯メール以外はだいたい対応しています）
・送信者が送信者がSTARTTLS使用を設定する（下図参照）
・受信者がPOP3S（POP3 over SSL）で受信する
（受信者に確認・お願いが必要です）
POP3SとSMTPSは、メールの送受信の際に、利用者とサーバの間をSSLで暗号を張ってから送受信するというプロトコル（約束ごと）です。
みんながこの設定をすれば、一番簡単で安全なやり取りができるでしょう。
とはいえ、受信者が確実にPOP3Sを使ってくれるとは限らないので、PPAPを併用することをお勧めします。

＜参考：OFFICE365、OUTLOOK2019/2016での設定＞

さらに、ウイルス混入のリスクに対しては、zipファイルはすぐに解凍せず、解凍しないまま中を確認できる
「7-zip」というzipアプリを使うこともお勧めです。

※送受信の相手先サーバがSTARTTLSに対応しているか確認する方法
～Gmailで受信し、WEBメールでtoの横の▼を開いて「標準的な暗号（TLS)」となっていればOKです。