PPAP (セキュリティ)

PPAP（ピーピーエーピー）はコンピュータセキュリティの手法と称されてきた運用であるが、実態としては実効性を欠き、むしろ組織の情報セキュリティを低下させる有害な愚行として広く批判されている。

 名称 
「Password付きZIPファイルを送ります、Passwordを送ります、Angoka（暗号化）Protocol（プロトコル）」の略号とされる。

しかし、この名称は厳密な技術的定義や設計思想に基づくものではなく、後付けで構成された説明的略語に過ぎない。実際には通信プロトコルと呼べるような仕様や標準は存在せず、プロトコルという語の使用自体が誤解を招く。

日本情報経済社会推進協会に所属していた大泰司章（現・PPAP総研）が問題提起し命名した。名称の着想にはピコ太郎の『PPAP』（ペンパイナッポーアッポーペン）の語感が影響したとされており、この経緯は本手法が厳密なセキュリティ設計ではなく、慣習と語呂合わせから生まれたものであることを象徴している。

一方、海外向けには「Password Protected Attachment Protocol」の略として紹介されることもあるが、これは非公式なバクロニムであり、命名者自身は用いていない。

 具体的な方法 
PPAPによるファイル送信は、以下の段階で行われる。

 送信者はファイルをパスワード付きZIPファイルにまとめ、メールに添付して送信する。
 同一受信者に対し、別のメールでZIPファイルのパスワードを送信する。
 受信者は両方を受領し、ファイルを展開する。

特に2.のパスワード通知を1.と同一の経路・同一アドレスで行う運用は、暗号化の意味を事実上失わせており、形骸化した儀式に過ぎないとして、狭義のPPAPと呼ばれることがある。

 特徴 
PPAPは誤ったセキュリティ対策であるにもかかわらず、日本国内では官民を問わず長年利用されてきた。形式的に「暗号化」を行っているように見えることから、プライバシーマークやISO/IEC 27000 シリーズの監査対応として安易に採用された経緯があるとされる。

その結果、PPAPを前提としたメール送信を自動化・支援するソフトウェア製品まで市販され、不合理な愚行が制度と市場の双方によって固定化された。

一方、日本国外ではこのような運用はほとんど見られず、PPAPは日本固有のガラパゴス的愚行と評価されている。

 批判 
PPAPは、企業や行政機関のセキュリティ水準を高めるどころか、かえってリスクを増大させるとして強い批判を受けている。

 セキュリティ上の致命的欠陥 

 PPAPは典型的なであり、実際のリスク低減効果はほぼ存在しない。

 攻撃者がメールを取得できる状況では、ZIPファイルとパスワードの双方を容易に入手できるため、防御として成立していない。

 暗号化ZIPはマルウェア検知を回避しやすく、アンチウイルスソフトウェアやサンドボックスによる検査を妨げる結果、マルウェア拡散を助長する危険な手法となっている。

 ZIP暗号は総当たり攻撃に弱く、秘匿性は極めて低い。そもそもZIP暗号を機密情報保護に用いること自体が不適切である。

 セキュリティ以外の問題 
 OSや環境差による互換性問題や日本語ファイル名の文字化け
 スマートフォンやテレワーク環境での利用困難
 不要なメール往復による業務効率の低下

これらの問題は、メール添付という旧来手法に固執した結果生じた構造的弊害である。

 廃止の動き 

 官庁 
平井卓也デジタル改革担当相は2020年11月、中央省庁におけるPPAP廃止方針を明らかにした。その後、内閣府および内閣官房では実際にPPAPが廃止された。

 民間 
日立製作所は2021年、グループ全体でPPAPおよびパスワード付きZIPファイルのメール送受信自体を廃止すると公表した。

 代替案 
PPAPの代替として、以下のようなより合理的かつ検証可能な手法が推奨されている。

 オンラインストレージ
 ファイル送信サービス
 ビジネスチャット


 公式の代替案 
『PPAPからの脱却』（PPAP総研 大泰司章）では、メール添付そのものを前提としない情報共有手段が推奨されている。
オンラインストレージ
ビジネスチャット
グループウェア
電子契約サービス
ERP
SNS

 出典 

 情報処理 : 情報処理学会誌 2020年7月（61巻7号、通巻664号）pp.706-734 情報処理 : 情報処理学会誌 2020年7月（61巻7号、通巻664号） 情報処理 : 情報処理学会誌 2020年7月（61巻7号、通巻664号） 情報処理 : 情報処理学会誌 2020年7月（61巻7号、通巻664号） 

 関連項目 

 e-Japan
 コンピュータセキュリティ
 PPAP (曖昧さ回避)

 外部リンク 

 情報処理 : 情報処理学会誌 2020年7月（61巻7号、通巻664号）
 日立がPPAP全面禁止へ

Category:公共事業
Category:コンピュータセキュリティ手続
Category:電子メールのプロトコル