パスワード付きZIPファイルとパスワードを別々のメールで送るPPAPをやめても、取引先とのファイル授受そのものはなくなりません。代替の手段としてまず挙がるのはOneDriveやSharePointの共有リンクですが、選択肢はそれだけではなく、法人向けファイル転送サービスや、自社で契約するクラウドストレージを使う方法もあります。
本記事では、これらの選択肢を、送受信への対応、取引先のアカウント、保存先、URLの期限、履歴という同じ条件で比較します。Microsoft 365を利用している企業の情シス担当者が、いまの契約で対応できるのか、別の仕組みが必要なのかを判断できるように整理しました。
本記事のポイント
- PPAPをやめる目的は、ZIP暗号化を別の形式へ置き換えることではなく、ファイルへのアクセスを送信後も管理できる状態にすることです
- 送信だけでなく取引先からの受信もある場合は、アップロード用URLと保存先まで比較します
- 既存のOneDrive／SharePointで足りる企業と、自社管理の送受信環境が必要な企業では選択が異なります
PPAPの代替では送信後のアクセスも管理する
PPAPの問題は、パスワードを別メールで送る手間だけではありません。ファイルとパスワードが同じメール経路を通るため、宛先を間違えれば両方が同じ相手に届いてしまいます。加えて、暗号化されたZIPファイルは受信側のセキュリティ製品で内容を検査しにくいという問題もあります。
内閣府と内閣官房は2020年11月、同じ経路でZIPファイルとパスワードを送る方式を、セキュリティと受信者の利便性の両面から適切ではないとして廃止しました。IPAも、暗号化された添付ファイルは配送経路上のセキュリティ製品で内容を検査しにくいこと、実際にパスワード付きZIPを悪用した攻撃があることを説明しています。詳しくは内閣府の「令和2年11月24日記者会見要旨」とIPAの「ショートカットファイルを悪用した攻撃」をご覧ください。
したがって代替方法を選ぶときは、通信の暗号化だけでなく、送信後にアクセス権を変更できるか、リンクを無効にできるか、ダウンロード履歴を確認できるかも比較の条件に含めます。
| 確認する場面 | 必要な管理 |
|---|---|
| 送信前 | 宛先、ファイル、公開範囲を確認する |
| 送信中 | 通信を暗号化し、必要な相手だけにアクセスを許可する |
| 送信後 | 期限、回数、共有停止、ダウンロード履歴を管理する |
| 保管中 | 保存場所、管理者、削除時期を決める |
PPAP廃止後の主な選択肢
代替方法は大きく、既存のクラウドストレージ、法人向けファイル転送サービス、自社クラウド上の送受信環境、SFTPなどの専用転送の4つに分かれます。メール添付の容量上限を超えるファイルを送りたいだけなのか、機密ファイルを継続的に授受するのかによって、適した選択肢は変わります。
OneDrive／SharePointの共有リンク
Microsoft 365を契約している企業なら、OneDriveまたはSharePointにファイルを保存し、共有リンクを取引先へ送れます。管理できる範囲は、リンクの種類、契約、管理者の設定によって異なります。共有相手、表示・編集権限、有効期限、共有停止などを管理できるため、単発の送信であれば既存契約の範囲で対応できる場合があります。
一方、匿名リンクは組織の外部共有設定によっては利用できません。利用できる場合も、リンクを転送された人がアクセスでき、アクセスした個人を特定できない点に注意が必要です。「特定のユーザー」リンクの場合、相手はMicrosoftアカウントでサインインするか、メールで届くワンタイムパスコードを使って本人確認をします。また、担当者個人のOneDriveを使うのであれば、異動や退職の際の引き継ぎ方法もあらかじめ決めておきます。
OneDrive／SharePointのファイル要求
取引先からファイルを受け取る場合は、ファイル要求機能でアップロード用リンクを作成できます。リンクを受け取った人は、Microsoftアカウントがなくてもファイルをアップロードでき、保存先フォルダの中身や、他の利用者が送ったファイルを閲覧することはできません。
ただし、この機能を使うには、SharePointまたはOneDriveで匿名リンク（Anyoneリンク）が許可されていて、管理者がファイル要求を有効にしていることが前提になります。また、未ログインの利用者が入力する氏名は本人確認の代わりにはならないため、誰から受け取ったかを厳密に確認する必要がある業務では、別の認証方法を検討してください。詳しい条件はMicrosoftの「Create a file request」で確認できます。
法人向けファイル転送サービス
法人向けファイル転送サービスは、送信、受信、期限、回数制限、履歴などを一つのサービスでまとめて管理できます。取引先にアカウント登録を求めずに大容量ファイルを送受信できる製品もあります。
製品を選ぶ際に確認するのは、最大容量だけではありません。保存先の国・地域と保存期間に加えて、暗号化やウイルス検査の有無も確認します。管理面では、管理者ログ、送信の取り消し、利用者の一括管理、契約終了後の削除方法を比較してください。無料サービスを業務で使う場合も、これらの項目が社内のセキュリティ要件を満たすかを確認します。
自社クラウド上に送受信環境を用意する
保存先とアクセス権を自社で管理したい場合は、自社が契約するAzureなどのクラウドストレージ上に送受信環境を構築する方法があります。たとえばAzure Storageでは、対象ファイル、操作権限、有効期間を限定したSAS URLを発行できます。
自社で契約したクラウドを使うため、データの保存先と利用状況を自社で管理できます。その反面、ストレージ、認証、URL発行、ログ、削除、費用監視までを設計し、継続して運用する担当者が必要になります。なお、Microsoftは、可能な場合はMicrosoft Entra IDとマネージドIDを使い、SASを利用する場合はユーザー委任SASを使うことを推奨しています。
SFTPなどの専用転送
システム間で定期的にファイルを交換する場合は、SFTPやマネージドファイル転送が候補になります。大量データの自動連携や定時処理には向きますが、一般の取引先がブラウザから単発で送受信するような用途では、アカウントの発行や接続設定が相手の負担になります。
送信と受信の要件から比較する
どの方法を採るかは、既存契約の有無だけでは決められません。取引先にどのような操作を求めるか、自社でどこまで管理するかをあわせて確認します。
| 選択肢 | 取引先への送信 | 取引先からの受信 | 相手のアカウント | 保存先 | 管理上の注意 |
|---|---|---|---|---|---|
| OneDrive／SharePoint | 共有リンク | ファイル要求 | 設定により不要 | Microsoft 365テナント | 外部共有設定と所有者の引き継ぎ |
| 法人向けファイル転送 | 製品の送信機能 | 対応製品は受信URLを発行 | 不要な製品がある | サービス事業者のクラウド | 保存場所、期間、ログ、契約終了時の削除 |
| 自社クラウド上の送受信環境 | 期限付きURL | アップロード用URL | 設計により不要 | 自社契約のクラウド | 構築と継続運用を自社または委託先が担う |
| SFTP／専用転送 | クライアントまたは自動処理 | クライアントまたは自動処理 | 原則必要 | 契約・構築したサーバー | アカウント、鍵、接続先を管理する |
次に、期限と失効、履歴と本人確認、費用、運用負担を比較します。具体的な機能や金額は契約・製品によって異なるため、ここでは費用の構造と確認すべき事項を示します。
| 選択肢 | 期限・失効 | 履歴・本人確認 | 費用の構造 | 導入・運用負担 |
|---|---|---|---|---|
| OneDrive／SharePoint | リンク種別・契約・設定による | 特定ユーザーは認証可能。匿名リンクは利用者単位の追跡不可 | 既存のMicrosoft 365契約内で使える場合がある | 外部共有設定、所有者、退職者対応を管理 |
| 法人向けファイル転送 | 期限、回数、失効方法を製品ごとに確認 | 認証方式、送受信ログ、CSV出力を確認 | 初期費用、月額、利用者数、転送量など | 利用者登録、社内ルール、契約更新を管理 |
| 自社クラウド上の送受信環境 | URL発行時の条件として設計 | 認証と監査ログを構築時に設計 | 構築費、保守費、ストレージ等の従量費 | クラウド設定、監視、削除、費用を継続管理 |
| SFTP／専用転送 | アカウント・鍵・サーバー側で制御 | 接続ログを管理 | サービス契約またはサーバー構築・保守費 | アカウント、鍵、接続設定の配布と更新 |
自社に合う方法を5つの質問で絞る
比較表で各選択肢の特徴を把握したら、次の5つの質問で自社に合わない方法を除外していきます。
- 取引先へ送るだけか、取引先からも受け取るか。
受信がある場合は、アップロード専用URLと保存先まで確認します。 - 取引先にアカウント登録やサインインを求められるか。
不特定の取引先と単発で授受するなら、アカウント登録が不要な方法が適しています。 - ファイルを誰のクラウドに保存するか。
サービス事業者の環境でよいのか、自社契約のMicrosoft 365またはAzureへ置く必要があるのかを決めます。 - 期限、失効、履歴をどこまで管理するか。
誤送信後のリンク無効化、ダウンロード回数、監査ログが必要なら、対応する機能と管理者権限を確認します。 - 単発の大容量送信か、機密ファイルの継続的な授受か。
単発の送信と、個人情報や契約書を継続的に扱う業務では、本人確認とログの要件が異なります。
既存のMicrosoft 365で要件を満たせるなら、まずはOneDrive／SharePointを検討します。送信と受信の操作を統一し、期限・回数・履歴を専用画面で管理したいのであれば、法人向けファイル転送サービスを比較します。保存先を自社契約のAzureに限定したい場合は、Azure上に専用環境を用意する方法が候補になります。
PPAP廃止を5段階で進める
仕組みを選んだだけでは、従業員が従来の添付方法を使ったり、取引先からパスワード付きZIPが届いたりする状況は解消しません。移行の対象と例外を決め、少人数で試したうえで社内外へ案内する、という順序で進めます。
- 現状を把握する。
送信・受信の件数、最大容量、機密情報の種類、利用部門、取引先側の制約を確認します。 - 要件を分ける。
単発の送信、取引先からの受信、共同編集、システム間連携を同じ方法にまとめず、それぞれに必要な認証と履歴を決めます。 - 候補を選ぶ。
既存のMicrosoft 365で足りるかをまず確認し、不足する場合に限って法人向けサービスや自社クラウドを比較します。 - 少人数で試す。
社内利用者と取引先の双方で、認証、アップロード、ダウンロード、失効の操作と、問い合わせの発生状況を確認します。 - ルールを切り替える。
利用方法、禁止する送信方法、例外申請、取引先への案内に加えて、パスワード付きZIPを受信した場合の対応も周知します。
ファイルを自社契約のAzureに保存したい場合の選択肢
さとりファクトリのSecureTransferは、取引先へのダウンロードURLと、取引先からのアップロードURLを発行する法人向けWebアプリです。取引先のアカウント登録は不要で、ファイルは自社が契約するAzure Storageへ保存されます。有効期限、回数制限、送受信履歴もまとめて管理できます。
SecureTransferが候補になる条件
- 取引先への送信と、取引先からの受信を一つの画面で管理したい
- 取引先のアカウント登録を不要にし、指定メールアドレスへ届く認証コードで確認したい
- ファイルの保存先を自社契約のAzure Storageにしたい
- 有効期限、回数制限、ファイル削除、監査ログを管理者が管理したい
既存のOneDrive／SharePointで要件を満たせる場合や、サービス事業者のクラウドへ保存して問題ない場合には、SecureTransferを追加する必要はありません。
上の条件に当てはまる場合は、無料トライアルで、実際の取引先を想定したダウンロードURLとアップロードURLの操作、メール認証、期限・回数制限、履歴を確認できます。管理者は失効時のファイル削除などの既定値を設定でき、操作履歴を検索してCSVで出力できます。なお、記録とファイルの削除は管理者に限られます。
Azureの契約状況と現在のファイル授受の方法を整理したうえで、構築や初期設定の支援範囲を相談できます。送受信の流れと無料トライアルの内容は「SecureTransferの送受信方法と無料トライアルを見る」でご確認ください。
SecureTransferのダッシュボードでは、送信リンクと受領リクエストの履歴を同じ画面で確認できます。
よくある質問
Q. オンラインストレージへ変えれば安全ですか。
A. 保存先を変えるだけでは不十分です。共有相手、本人確認、期限、リンクの転送、失効、履歴、管理者権限を設定し、誤送信のときにアクセスを止められる状態にしておく必要があります。
Q. OneDriveだけでPPAPを代替できますか。
A. 共有リンクとファイル要求で送受信の要件を満たせるなら代替できます。匿名共有の可否、相手の本人確認、期限、履歴、所有者の引き継ぎが社内の要件に合うかを確認してください。
Q. パスワードを別の経路で送れば安全ですか。
A. 同じメール経路で送るよりは盗聴対策になる場合もありますが、宛先間違いのリスク、暗号化ZIPの内容を検査しにくい問題、送信後の失効や履歴管理ができないという課題は残ります。
Q. 無料のファイル転送サービスを法人利用できますか。
A. 利用できるかどうかは社内規程とサービスの条件によります。保存場所、保存期間、暗号化、マルウェア検査、ログ、削除、再委託先を確認したうえで、扱う情報に対して問題ないと説明できるサービスだけを使ってください。
まとめ
PPAPの代替は、暗号化ZIPを別の添付方法へ置き換える作業ではありません。取引先へ送るだけなのか受信もあるのかを切り分け、取引先のアカウント、保存先、期限・取消し、履歴を比較して選んでください。
移行の際は、対象と例外を決めて少人数で試し、社内のルール変更と取引先への案内まで含めて計画します。ここまで進めて初めて、パスワード付きZIPに戻らない運用になります。
コメント