PPAPといえば、一世を風靡したピコ太郎の「ペンパイナッポーアッポーペン」ですが、
セキュリティ業界では別の意味として使われています。
機密情報が含まれる添付ファイルをメール送信する際に、パスワード付きZIPで送るというやり方があります。
パスワードをつけておくことで、万が一メールが盗聴されたとしても情報流出にはならないという考え方です。
しかしたいていの場合、意味がないやり方で送られているのです。
それがPPAP。
PPAPとは
Password付きZIPファイルを送ります、
Wikipedia
Passwordを送ります、
Angoka（暗号化）
Protocol（プロトコル）」の略号である。
https://ja.wikipedia.org/wiki/PPAP_(%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3)
パスワード付きZIPをメールで送り、そのあと別のメールで同じ人に対してパスワードを送るという手法です。
手作業で行う場合もありますが、この行為自体を自動化しているソリューションもあります。
このやり方は、もし1通目のメールを盗聴できる人がいるのであれば、2通目のメールも盗聴できてしまうから意味ないですよね。
その他にもいろいろな問題があり、企業や自治体などが脱PPAPの動きを見せつつあります。
送る方法を変えるという意味での脱PPAPはもちろんのこと、パスワード付きZIPが添付されたメール自体を受信拒否する企業も増えています。
なぜそこまでするのでしょうか。
それは、パスワード付きZIPはメール受信時にサービス側（Gmailなど）にて自動でのウイルススキャンがなされないからです。
パスワード付きZIP自体がもはやセキュリティリスクという考え方なのです。
こうした状況に対応するため、早めに対策をとっておきましょう。
あらかじめ定めておいたZIPパスワードで送る
決まった相手に、定期的に送るのみであればこれが一番簡単です。
例えば、顧客に対して送る月次レポートなどが適しているでしょう。
郵送、FAXなどのメール以外の方法で、送付先に対してパスワードを伝えておきます。
このパスワードはずっと使い回します。
ただし、この方法は先に述べたとおり、パスワード付きZIP自体を受信拒否している企業には使えません。
また、突発的に発生する用途にも使えない（使うには手間がかかる）ため現実的な方法とはいえないでしょう。
KDDIファイルストレージを使う
通信大手のKDDIによるインターネットストレージサービスです。
コスパが抜群です。PPAP対策に特化するなら、これがベストチョイスだと思います。
どうやって安全にファイルを送るのか。
大まかな手順は下記の通りです。
（送る側の手順）
- KDDIファイルストレージにログインします。
- 相手に送りたいファイルをアップロードします。
- ファイルをWeb公開設定にします。
- 公開先のメールアドレスを登録します。
- 公開用URLを、別途準備したメールに貼り付けて送ります。
（受け取る側の手順）
- メールを受信します。
- KDDIファイルストレージのリンクをクリックします。
- メール認証画面になるので、自分のメールアドレスを入力します。
- ワンタイムパスワードが発行され、自分のメールアドレスに届きます。
- KDDIファイルストレージ画面にワンタイムパスワードを入れます。
- ファイルをダウンロードします。
ここでポイントなのが、ワンタイムパスワードを発行できるのは、送る側が指定したメールアドレス
だけということです。
・メールを間違った宛先に送ってしまった
→KDDIファイルストレージ上でメールを追加していなければ大丈夫
・宛先もKDDIファイルストレージも間違って指定してしまった
→すぐに気づけばファイルを削除することも可能
どのメールアドレスがすでにダウンロードしたかも確認できます
・メールがすべて盗聴されている場合
→盗聴者が本人より早くワンタイムパスワードを使ってログインしない限りファイルにたどり着けません
かなり安心して使えると思います。
また、大手企業などはアクセスできるドメインを制限しているケースがあります。
例えば個人用途が多いインターネットストレージサービスなどは、アクセスできないケースが多いです。
その点、KDDIのドメインということもあり、企業側でも制限されているケースは少ないように思います。
コストですが、1ユーザーあたり330円/月です。
10GBまで使用できます。
10アカウント作っても3,300円です。かなり安いですよね。
その他にもさまざまなPPAPソリューションがあります。
一長一短あると思いますが、個人的に下記のようなサービスはおすすめできません。
・受信者がユーザー登録する必要がある（めんどい）
・受信者側の手順がわかりにくい（使い方の問い合わせが来る）
・別のアドレスからメールが来る（フィッシングメールとの区別がつかない）
KDDIファイルストレージはこういった問題がないので非常におすすめです。
