PPAPの代わりは、1つの製品に決めるより、相手が開ける方法から選びます。リンクを開ける相手には相手指定の共有リンク、開けない相手には暗号化メールかファイル転送サービス、という形で2〜3通りに分けるのが現実的です。
今日やることは、過去1か月にパスワード付きZIPを送った相手を書き出し、「共有リンクを開けそう」「開けるか分からない」「開けない」に分けることです。全社の製品選びより先に、この表があると話が早く進みます。
この記事は公開情報を整理したものです。私たちが各製品を導入や検証したわけではありません。メール全体の対策はメールセキュリティのカテゴリから見られます。
なぜ替えるのか、短く言うと？
パスワード付きZIPをメールで送り、続けてパスワードを同じメールの経路で送るやり方がPPAPです。2020年11月、当時のデジタル改革担当大臣は記者会見で、この方式は「セキュリティ対策の観点からも、受け取る側の利便性の観点からも、適切なものではない」と述べ、内閣府と内閣官房で廃止するとしました。
受け取る側の問題もあります。JPCERT/CCは、マルウェアEmotetの注意喚起で、パスワード付きZIPに悪意のあるファイルを入れて送る形を挙げています。社内で「パスワード付きZIPは普通に届くもの」となっていると、偽物も同じ顔で届きます。
4つの方法はどう違う？
守る場所と、相手に求めることが違います。
| 方法 |
向いている場面 |
相手に求めること |
気をつける点 |
| 相手指定の共有リンク |
続きのある取引、版の変わる資料 |
社外の共有サービスを開ける |
誰でも開ける設定にしない |
| メール暗号化 |
本文も守りたい連絡 |
専用の画面を開く、または鍵のやり取り |
開き方の案内が要る |
| ファイル転送サービス |
大きいファイル、単発の受け渡し |
ダウンロードのURLを開ける |
送信先の間違いは別に防ぐ |
| 共用の受け渡し場所 |
決まった相手と長く続く取引 |
アカウントの登録 |
取引終了時に消す担当を決める |
メールの暗号化という言葉には、2つの意味が混ざっています。GoogleのGmailの暗号化の説明によると、TLSは配送の途中を守るもので、受け取る側のサービスも対応している場合に保護されます。S/MIMEは鍵を持つ受取人だけが開けるもので、仕事用や学校用のアカウントが対象です。「うちのメールは暗号化されている」と聞いたら、どちらの話かを確かめてください。
共有リンクはどう設定する？
共有リンクの強みは、送った後でも権限を外せることです。ただし設定次第で弱くもなります。
Microsoft 365では、外部共有の設定に「リンクを知っているすべてのユーザー」という種類があります。Microsoftの説明では、このリンクは認証なしで開けて、転送されても動き、誰がアクセスしたかを追跡できなくなります。社外に図面や見積もりを渡すなら「特定のユーザー」にして、相手に確認コードやサインインを求める形にします。「すべてのユーザー」のリンクを使う場合は、管理者が有効期限を強制できます。
Google Workspaceでは、管理者が許可していれば、ビジターとの共有でGoogleアカウントのない相手にも共有できます。相手はPINで本人確認をして、確認後7日間ファイルを扱え、期間が過ぎたら元のメールのリンクから確認し直します。
どちらでも、決めておくのは次の3つです。
- 社外共有は相手を指定する形を基本にする
- 期限を決める。続く取引なら、見直す月を決める
- 取引や案件が終わったら、誰が権限を外すかを決める
メール暗号化が合うのはどんなとき？
本文にも機密がある連絡や、相手の会社がクラウドの共有を止めている場合に候補になります。
Microsoft Purview Message Encryptionは、社外の相手にも暗号化したメールを送れます。Outlookで読むMicrosoft 365の利用者は、同じ組織でなくても特別な操作なしで読めます。Gmailなどの相手には案内のメールが届き、専用のポータルで本人を確かめて開きます。管理者がメールフロールールを作り、条件に合うメールを自動で暗号化することもできます。使えるかどうかは契約のプランで確かめてください。
GmailのS/MIMEは、相手も対応していて鍵を交換できる場合に合います。毎回の相手が変わる中小企業どうしのやり取りでは、最初の設定が負担になるかもしれません。相手が決まっている少数の取引に絞って考えます。
専用の製品を検討するなら、メールセキュリティの製品比較から、送信時の暗号化を扱うかどうかを製品ごとに確かめられます。
取引先の事情別に、どう選ぶ？
製造業の図面を例に考えます。たとえば、部品メーカーが加工図面を協力工場へ、仕様書を大手の取引先へ送っている場合です。相手によって条件がかなり違います。
大手の取引先へ送るとき
大手は独自の受け渡しの仕組みを持っていたり、外部のクラウドを社内から開けなかったりします。自社の方法を提案する前に、相手の情報システム部門の指定を聞きます。指定があるなら、それに従うのが一番早い方法です。
数人の協力工場へ送るとき
工場の事務所のパソコン1台でメールを見ている相手もいます。アカウントの登録を求めると止まりやすいので、ダウンロードのURLで受け取れるファイル転送サービスの比較から探します。図面は版の間違いが事故になるので、続く案件では相手指定の共有フォルダに切り替え、最新版の置き場を1か所にします。
個人情報や未公開の情報を送るとき
相手が誰でも、送り先を二重に確かめる手順を入れます。送信前に上長が承認できるかどうかは、製品を比べるときの質問に加えてください。
どうしても替えられない相手には？
大臣は同じ会見で、機密性の高い情報は、パスワードをかけて全く別の経路で知らせるのが「まずは適切な対応ではなかったのか」と述べています。電話やショートメッセージで伝える方法です。件数が増えると続かないので、相手と期限を決めた例外にして、一覧に残します。
受け取る側は何を変える？
自社が送るのをやめても、相手からは届き続けます。パスワード付きZIPを一律に止めると仕事が止まるなら、届いた時の扱いを決めます。
- 普段やり取りのない相手からのものは、開く前に別の連絡手段で確かめる
- 開いた人を責めず、報告の手順を訓練で確かめる
- 添付の中身を無害にしてから渡す方法を検討するなら、ファイル無害化の比較を見る
自社のメールのなりすましを防ぐ設定は別の話です。代わりの方法でURLの案内メールを送るなら、相手から本物と分かることも欠かせません。DKIMの設定とDMARCの設定も、順に確かめてください。
移行はどの順番で進める？
一度に切り替えると問い合わせが集中します。
- 送信先の一覧を作り、3つに分ける
- 情報の重さで、使ってよい方法を決める。社外秘の図面は相手指定のみ、など
- 件数の多い相手5社に連絡し、1件試して開けるか確かめる
- 自動でZIPにする仕組みがあれば、例外の相手を決めてから外す
- 例外の一覧を四半期ごとに見直す
取引先への連絡は、「セキュリティの方針変更のため」と理由を書き、試しのファイルを1つ付けると、相手の情シスも判断しやすくなります。残った例外の数を社長に毎回報告すると、放置されにくくなります。
