第52回ISP＆クラウド事業者の集いin旭川

くたばれPPAP！
～メールにファイルを添付する習慣を変えるところから始める働き方改革～
2019年9月13日
JIPDEC（じぷでっく）【法人番号：1 0104 0500 9403】(一般財団法人日本情報経済社会推進協会）
インターネットトラストセンター 企画室
室長 大泰司 章（おおたいし あきら）

本日のお話

１．はじめに （PPAP誕生秘話。長いかもしれません。）

２．PPAP

資料は電子データのみですが、のちほどアップロードいたします。
※発言は個人の見解であって、所属組織を代表するものではありません。

Copyright (c) 2019 JIPDEC. All Rights Reserved.

2

１．はじめにプロフィール

企画室長

JIPDEC
インターネットトラストセンター
大泰司 章（おおたいし あきら）

https://8card.net/p/otaishi
https://www.facebook.com/akira.otaishi@otaishi
三菱電機（株）、日本電子計算（株）を経て、JIPDECに参画。
営業現場で長年にわたって大量の紙の契約書等取引文書と格闘し、社会インフラを変える必要性を痛感。
「電子契約元年プロジェクト」を立ち上げ、全ての取引文書の電子化を推進している。さらに、「取引革命」と銘打ち、不合理な商慣習やビジネスマナーの改革を通じて「真の働き方改革」を目指している。

また、情報発信者の信頼性という観点から、インターネット上のメールやWebサイトのなりすまし対策にも取り組んでいる。
Copyright (c) 2019 JIPDEC. All Rights Reserved.

4

JIPDEC概要●名称

JIPDEC【法人番号1010 4050 09403】（じぷでっく）
一般財団法人日本情報経済社会推進協会

Japan Institute for Promotion of Digital Economy and Community
以前は、財団法人日本情報処理開発協会

Japan Information Processing DEvelopment Corporation●設立

1967年12月20日●基金

39億9,900万円●事業規模

24億3,460万円（2019年度予算）●職員数 93名（2019年4月1日現在）

Copyright (c) 2019 JIPDEC. All Rights Reserved.

5

事業案内

● 個人情報保護の推進● 情報利活用に向けた調査研究・提言● セキュリティマネジメントの推進● インターネット上の情報の信頼性（トラスト）確保

Copyright (c) 2019 JIPDEC. All Rights Reserved.

6

インターネット上の情報の信頼性（トラスト）確保● 電子契約
電子署名

JCANトラステッド・サービス登録● Ｗebサイト
常時SSL
脆弱性診断
改ざん検知
● eメールS/MIME
SPF
DKIM
DMARC
安心マーク

ディーマーくんくん
安心マーク

Copyright (c) 2019 JIPDEC. All Rights Reserved.

7

JCANトラステッド・サービス登録● 認証局 みずほ銀行「みずほ銀行認証局」● 電子証明書取扱業務 28社
https://itc.jipdec.or.jp/jcan-trusted-service/● 電子契約サービス
サイバートラスト「iTrustリモート署名サービス」● 今後の予定 →評価基準作成にご協力願いますオンラインストレージ
クラウドホスティング
電子メール送信者、送信事業者、受信サービス
Ｗebサイト開設者、開設サービス 等Copyright (c) 2019 JIPDEC. All Rights Reserved.

8契約書（取引文書）の電子化

BEFORE

AFTER

紙にハンコ

● 2014年～

PDFファイルに電子署名とタイムスタンプ

電子契約元年● 2017年～ 取引革命元年 → 真の働き方改革へ
Copyright (c) 2019 JIPDEC. All Rights Reserved.

9

Webサイトのなりすまし対策● 2018年6月
常時SSL/TLS化調査レポート｜自治体サイト対応状況
1788サイト中 37.4%● 2018年9月
常時SSL/TLS化調査レポート｜企業サイト対応状況
約40万件中 20.6%

Copyright (c) 2019 JIPDEC. All Rights Reserved.

10メールなりすまし対策の重要性

メールなりすまし
クリック

クリック

クリック

ここを減らすことで対策全体の負荷を減らす。

Ｗebサイト改ざん
クリック

入力

Ｗebサイトなりすまし
入力

クリック

他のＷebサイトでのIDパスワード流出
パスワード使いまわし

マルウェアに感染

入力

IDパスワード詐取

不正送金、システムへの侵入、営業秘密漏えい、プライバシー侵害等の被害
Copyright (c) 2019 JIPDEC. All Rights Reserved.

11メールなりすまし対策を進める難しさ

守る対象
1社あたりのコスト

受信対策

送信対策

自社内のシステム

受信者（取引先や消費者）

大

小
企業の社会的評価

サイバー攻撃からの防御効果
内部不正の防止（取引先等が対策をすればば、結果的に自社を守ることになる）

ソリューション

多少市場

大

小

従来の情報セキュリティー

Copyright (c) 2019 JIPDEC. All Rights Reserved.

トラスト
商慣習
ビジネスマナー12

「安心マーク」のしくみと普及状況

送信者
常陽銀行
松本商工会議所
JIPDEC
スルガ銀行
イオン銀行
愛媛県上島町

宮城県石巻市HENNGE
ユミルリンククオリティアBANDAISPIRITS

送信事業者

受信側事業者

パイプドビッツ
インフォマニア
トライコーン

ニフティ
ヤフー
CNCI
クオリティアIIJ

シナジーマーケティング

DKIMで送信HENNGE
アララ

メール送信ドメインを登録
メール送信ドメインを配信

なりすましメールの防止

開封率の向上/受信箱への配送
メリット
問い合わせ対応の効率化

企業イメージの向上

Copyright (c) 2019 JIPDEC. All Rights Reserved.

13

S/MIME普及活動● 2013年3月18日 S/MIME普及シンポジウム2013～メール3.0！標的型攻撃に備える～● 2013年9月9日 S/MIME普及シンポジウ2013September～なりすましメールをなくそう！～● 2015年9月4日 S/MIME普及シンポジウム2015～なりすましメールを見抜くのは無理と諦めてしまう前に～● 2017年2月27日 S/MIME普及シンポジウム2017～メールなりすまし対策最前線～● 2013年6月28日「S/MIMEに利用可能なパブリック電子証明書」の公表● 「インストールガイド」の公開
https://itc.jipdec.or.jp/jcan/Installguide_index.html

Copyright (c) 2019 JIPDEC. All Rights Reserved.

14

JIPDECのZIPLOC

PPAP爆誕

Copyright (c) 2019 JIPDEC. All Rights Reserved.

15

２．PPAPＰＰＡＰとはＰＰA
Ｐ

asswordつきzip暗号化ファイルを送ります

asswordを送ります

ん号化

rotocol
Copyright (c) 2019 JIPDEC. All Rights Reserved.

17

くたばれＰＰＡＰ！

Copyright (c) 2019 JIPDEC. All Rights Reserved.

18メールにシグニチャー# ZIP暗号化した添付ファイルは受信できません。
# 【くたばれPPAP！】のグループはこちら↓# https://www.facebook.com/groups/AntiPPAP/

Copyright (c) 2019 JIPDEC. All Rights Reserved.

19書籍で取り上げられ、ベストセラーに！

Copyright (c) 2019 JIPDEC. All Rights Reserved.

20

PPAPのメリット／デメリット〇

送信側にとっては、手軽。

〇

２通目を自動で送らなければ、誤送信防止にはなる。

× 受信側は、パスワードを探して入力して開く。
効率が悪い。
×

受信側のマルウェアフィルタをすり抜ける。

× そもそも、２通目にパスワードを送るのであれば、秘匿性なし。
Copyright (c) 2019 JIPDEC. All Rights Reserved.

21

PPAPの分類

暗号化する
ファイル

パスワードの送り方

送信者の負荷受信者の負荷で、どうなの？

１

全て2通目で自動送信

小大

完全PPAP２

全て2通目や本文で手動送信

中
(手間)

大

不完全PPAP

３

全て

・「いつものもの」
・別経路で知らせる中(手間+記憶)大

ややPPAP

４

送信者が機密性により選択2通目や本文で手動送信

中(判断+手間）中（受信数減）

意味ある？

５

送信者が機密性により選択

・「いつものもの」
・別経路で知らせる

中(判断＋記憶）中（受信数減）

それなら分かる

Copyright (c) 2019 JIPDEC. All Rights Reserved.

22

では、どうするか？

●S/MIME●

オンラインストレージ●電子契約サービス●

グループウェア（さよならサイボウズLIVE･･･）● みんな大好きSLackCopyright (c) 2019 JIPDEC. All Rights Reserved.

23

オンラインストレージ※QUALITIA社資料より引用

Copyright (c) 2019 JIPDEC. All Rights Reserved.

24電子契約サービス※ NSSOL社Webサイトより引用

Copyright (c) 2019 JIPDEC. All Rights Reserved.

25

オンラインストレージ／電子契約※ TIWC(現ペーパーロジック)社
資料より引用Copyright (c) 2019 JIPDEC. All Rights Reserved.

26

代替案を採用するコストと、その解決策● 延々と続くセキュリティーの議論→

完全PPAP、不完全PPAPにのみフォーカス● 送信側にとっては、PPAP廃止だけでは費用対効果が見えない→

社外とのコラボレーションの活性化 「働き方改革」

取引先（受信側）への配慮 「働き方改革」
自社のブランディング →次ページへ（※当日投影のみ）
Copyright (c) 2019 JIPDEC. All Rights Reserved.

27