PRIJPAAWG「パスワード付きzip添付メール問題を考える」

PPAPとは＃PPAPとは2021年2⽉25⽇
合同会社PPAP総研（法⼈番号︓5010003033116）
代表社員 ⼤泰司 章

会社案内

PRI

l 合同会社 PPAP総研（法⼈番号︓5010003033116）
l 私たちは、PPAP、PHS、ネ申エクセル等の不合理な電⼦化を排し、真の業務の効率化と働き⽅改⾰を⽬指すコンサルタント集団です。
l 業務範囲︓ 電⼦契約、EDI、ERP、fintech、メールやＷebサイトのなりすまし対策、メール送信マナー、サプ
ライチェーン効率化、情報セキュリティ、営業秘密（個⼈情報）保護
Copyright (c) 2021 PRI All Rights Reserved.

2

Ｗebサイト作成中
https://www.sharepages.jp/company/pri/

Copyright (c) 2021 PRI All Rights Reserved.

PRI

3

プロフィール

PRIl 三菱電機→JIP→JIPDEC→PPAP総研
営業/マーケティング/コンサル
l Facebookにて以下のグループを運営
u 電⼦契約元年
u 【マイナンバー】みんなで使おう法⼈番号u くたばれPPAP︕
Copyright (c) 2021 PRI All Rights Reserved.

4

電⼦契約元年

Copyright (c) 2021 PRI All Rights Reserved.

PRI

5

【マイナンバー】みんなで使おう法⼈番号
PRI

Copyright (c) 2021 PRI All Rights Reserved.

6

くたばれPPAP︕

Copyright (c) 2021 PRI All Rights Reserved.

PRI

7

PPAPとはPRI

Ｐasswordつきzip暗号化ファイルを送ります
Ｐasswordを送ります
A ん号化
ＰrotocolCopyright (c) 2021 PRI All Rights Reserved.

8

Internet Week 2016

PRI

l T17 組織間の安全なファイル送受信を考える〜暗号化ZIPは何のため〜

Copyright (c) 2021 PRI All Rights Reserved.

9

JIPDECのZIPLOC（2017年）

Copyright (c) 2021 PRI All Rights Reserved.

PRI

10

ベストセラーに掲載（2019年7⽉)
PRI

Copyright (c) 2021 PRI All Rights Reserved.

11

情報処理2020年7⽉号に掲載

Copyright (c) 2021 PRI All Rights Reserved.

PRI

12

マルウェアEmotetでPPAPが悪⽤

PRI

l 2019年末に蔓延
Wordファイル形式による添付 →マクロを実⾏させる
本⽂にURL →マルウェアをダウンロードさせる
l 2020年7⽉から第2波
パスワード付きzipファイルの添付で、マルウェアフィルタを回避
l IPA（独⽴⾏政法⼈情報処理推進機構） 2020年9⽉2⽇追記「Emotet」と呼ばれるウイルスへの感染を狙うメールについて」
l JPCERT/CC（JPCERTコーディネーションセンター） 2020年9⽉4⽇公表「マルウェア Emotet の感染拡⼤および新たな攻撃⼿法について」
Copyright (c) 2021 PRI All Rights Reserved.

13

平井⼤⾂がPPAP廃⽌に⾔及

PRI※出典︓twitter
Copyright (c) 2021 PRI All Rights Reserved.

14

⽇⽴製作所がPPAP全⾯禁⽌︖

PRI※出典︓⽇経XTECH
https://xtech.nikkei.com/atcl/nxt/column/18/00001/05086/
Copyright (c) 2021 PRI All Rights Reserved.

15

PPAPの分類（Ver4.0）

PRI暗号化する対象となる添付ファイル
全て

⼀部のみ

同じ経路
(2通⽬等)

PPAP

準PPAP

別の経路

⼤変

アリ

パスワードの伝え⽅

Copyright (c) 2021 PRI All Rights Reserved.

16

PPAPのメリット/デメリット

PRI〇 送信側にとっては⼿軽。
〇 ２通⽬を⾃動で送らなければ、誤送信防⽌にはなる。
×× 受信側はパスワードを探して⼊⼒して開く。効率が悪い。
× そもそも２通⽬にパスワードを送るのであれば秘匿性なし。
× 受信側のマルウェアフィルタをすり抜ける。
Copyright (c) 2021 PRI All Rights Reserved.

17

PPAP問題の構造

PRI
セキュリティ
さらに感染

マルウェア感染

情報漏洩
受信者の情報も含む可能性あり

送信者受信者取引したくなくなる

⾃動化で解決!?

業務効率低下

業務効率性
Copyright (c) 2021 PRI All Rights Reserved.

18

ご参考※下図は個⼈の感想であり、受け⽌め⽅には個⼈差があります。

PRI
セキュリティ

穏健派

過激派

業務効率性
Copyright (c) 2021 PRI All Rights Reserved.

19

⼆つのカベ

PRI

どう思われているか想像⼒が及ばない。
経営者
総務
情シス
・⼀度作った規則は変えたくない。そんなに⼤変じゃないでしょ。

購買等
社内の現場・取引先には申し訳ないけど、社内の規則変えるのが⼀番⼤変なんだよね。
Copyright (c) 2021 PRI All Rights Reserved.

取引先・カンベンしてくれよ。できれば付き合いたくないな…
20

代替案出せ︕︖

PRI
これから今まで機密性の⾼い情報

機密性の⾼い情報「別の⼿段で送信」「別の⼿段で送信」

何も変わらないはず

機密性の低い情報

機密性の低い情報「PPAPで送信」

PPAP廃⽌Copyright (c) 2021 PRI All Rights Reserved.

「そのまま送信」
21

では、どうするか︖

PRI

l S/MIMEØ 署名︓送信者の証明書を使えばよいので簡単
Ø 暗号化︓受信者が証明書を持っていないといけないØ 実際に使ってみれば、こんなラクな⽅法はない
l そもそも、機密性の⾼い情報を送る関係であれば、業務の効率性を考えても、メール以外の⼿段でよいのでは︖
Ø 送信者がURLを発⾏して誰でもアクセスできるタイプ
Ø 受信者もアカウントを持って認証するタイプ
Copyright (c) 2020 PRI All Rights Reserved.

22メール以外でのファイル共有

PRI● オンラインストレージ● 電⼦契約サービス● グループウェア（さよならサイボウズLIVE･･･）● みんな⼤好きSLack（ビジネスチャット）● でも実は、、Facebook
Copyright (c) 2020 PRI All Rights Reserved.

23ところで、最近思い出したこと

PRI

l 当初は、丁寧な送り⽅と思われていた。
Øセキュリティ的に意味がないとしても。
Ø⾵呂敷や熨⽃紙のようなもの。

l その後の環境変化

Øメールの増加Øビジネスのスピードアップ

l さらに、⾃動で送られるようになり、もはや「丁寧な送り⽅」ではなくなった。
Copyright (c) 2021 PRI All Rights Reserved.

24

⼀⽅、2019年10⽉PHS登場

Copyright (c) 2021 PRI All Rights Reserved.

PRI

25

PHSとはPRI

Copyright (c) 2021 PRI All Rights Reserved.

26

ネ申エクセル問題

Copyright (c) 2021 PRI All Rights Reserved.

PRI

27

⽇本三⼤悪習慣PRIl PPAPl PHS
l ネ申エクセル

Copyright (c) 2021 PRI All Rights Reserved.

28

PRI