そもそもなぜメールでパスワード付きzipファイルが普及したのでしょうか。いくつか理由はありますが、代表的な理由は２つです。

①PマークISMS認証などの取得のため

認証を取得する際、審査機関に依頼をして審査を受ける必要があります。

「機密情報を含むファイルをメールで送信するときはパスワードをかけて、そのパスワードを別送する」というルールを作っておかないと、審査が通りにくくなっておりました。

②誤送信対策

情報処理推進機構（IPA）は、2012年に手軽な誤送信対策として有効であると下記のように述べておりました。

*「添付ファイルとするドキュメントを事前に暗号化しておき、メール送信で添付する方法が、お手軽です。」

（中略）

*「重要な情報を誤送信したとしても、復号のためのパスワードがなければ情報漏えいの被害を起こさないので、効果的です。」

※電子メール利用時の危険対策のしおりより

http://www.shiga-med.ac.jp/mmc/support/security/security/pdf/07_mail.pdf

これらの理由がきっかけで、メールでパスワード付きzipファイルの運用が企業で普及していきました。

zip暗号化ファイルの添付は従来であれば「セキュリティ対策」の一つとしてみなされてきました。

しかし、マルウェアにおいては「セキュリティリスク」とみなされます。暗号化されていることで、セキュリティ対策製品の検知をすり抜けてしまい、最終的にユーザーの手元にその脅威が到達する手助けとなっているからです。

昨今話題の「Emotet」や新種のトロイの木馬である「IcedID」など、zip暗号化ファイルを使い、マルウェアをユーザーの手元に届けるような手口が活発となっております。

今までに記述したPPAPの対応策として、外部とのファイル共有を「オンラインストレージ」を活用する方法があります。

オンラインストレージを活用した方法では、「共通ファイルを編集する社外との資料共有」や「BCP対策としてのリスクヘッジ」など多くのメリットがあります。一方で「データが残りづける」「格納データごとの権限管理」などといったリスクや負荷がかかるのも事実です。

もともと社内でオンラインストレージを活用しており、ポリシーもしっかり決まって運用も定着しているといったご状況であれば、既存のオンラインストレージを拡張・活用することは有効な1手かと思います。また、オンラインストレージの導入を検討していたといったケースも、この機会に今回の脱PPAPも見据えた導入体制を整えるのは良いかと思います。

ファイル転送とは、Webブラウザでメールに添付できない大容量ファイルや機密性の高いデータを企業間で「簡単・安全」に送受信できるシステムです。当社が提供しております「eTransporter」というファイル転送システムがあり、これを例にとって解決策を説明していきます。

①zipファイル暗号化をやめたい

Zipファイル暗号化だけをやめたいという場合、従来のブラウザ転送で解決できます。

・ファイル公開期限指定

・ダウンロード制限回数指定

・ダウンロードパスワード設定

・ダウンロード時ログイン指定

これらのセキュリティ・制限設定を満たすようなファイル転送システムを選べば安心です。

②zipファイル暗号化をやめたい＋　同一経路でのパスワード後追いをやめたい

メールを盗聴されるリスクを考慮する場合、従来のブラウザ転送に加え、事前ユーザー登録機能で解決できます。

ダウンロードできるユーザーを登録制にしておくことにより、他社からのダウンロードを防ぐことができます。

他にも、「取り決めパスワードによる運用」「電話などの別経路でパスワードを通知する」といった運用も考えられます。

– 特定のユーザーにだけ資料を送ることができる

– データは自動的に削除される

– 操作ログ・実ファイルを残せる（証跡管理）

– 受信確認（送信者へのダウンロード通知）

– いつものようにメールにファイル添付するだけで送れる

– ユーザ数、送信ファイル容量無制限　　　etc…