みなさん、こんにちは。
先日、GmailのPOP終了に関しての記事を書きました。
想像以上に多くの方から読まれたのですが、やはりeメールは現代のビジネスシーンでもまだ不可欠なコミュニケーションツールなのだと再確認しました。
しかし、そのeメールの運用に潜む、GmailのPOP終了以上に根深い問題が、実は日本のビジネスシーンに存在しています。それは、
「パスワード付きZIPファイルをメールで送り、パスワードを別メールで送る」。
そう、通称「PPAP（ピーパップ）」です。
今や悪名高くなってしまったこの運用は、日本のビジネスシーンで長年当たり前のように行われてきました。政府や大企業ではすでに廃止の波が押し寄せ、セキュアファイル転送サービスやクラウドストレージへの移行が進んでいますよね。
しかし、現場の肌感覚として「脱PPAP」は、決してスムーズな一本道ではないと感じています。「いったい、どこに正解があるんだ！」と叫びたくなるような、出口の見えない迷走が続いているのが現状ではないでしょうか。
今回は、PPAPの問題点を改めて整理しつつ、代替策の「一長一短」を比較します。特に、個人事業主や中小企業が直面するリアルな課題に焦点を当て、「利便性とセキュリティ、そしてコスト」のバランスをどう取るべきか、みなさんと一緒に考えていきたいと思います。
「PPAPはダメ！」はもう周知の事実。改めて問題点を整理
PPAPの問題点については、もはや耳タコかもしれませんが、代替策を考える上でその「本質的な脆弱性」を理解しておくことは重要です。
1. ZIP暗号の脆弱性とパスワードの無意味な別送
私たちがPPAPで利用するZIPファイルの暗号化は、実は非常に強度が低いことが知られています。専用のツールを使えば、比較的短時間でパスワードを解読できてしまうケースも少なくありません。
さらに致命的なのは、「ファイル」と「パスワード」を同じ通信経路（メール）で送っているという点です。
もしメールが盗聴されたり、誤送信によって第三者の手に渡ったりした場合、ファイルとパスワードはセットで流出する可能性が極めて高いのです。「別メールで送るから安全」という安心感は、残念ながら薄いセキュリティ幻想に過ぎません。誤送信対策としても、パスワードを別送する手間があるだけで、根本的な誤送信自体は防げないという指摘もあります。
2. マルウェア・ウイルススキャン回避のリスク
近年のセキュリティリスクで特に問題視されているのが、マルウェア（悪意のあるソフトウェア）の感染リスクです。PPAP方式で暗号化されたZIPファイルは、メールサーバー側で導入されているセキュリティ対策ソフトによる「ウイルススキャン」をすり抜けてしまうことが少なくありません。
特に日本国内で猛威を振るった「Emotet（エモテット）」のようなマルウェアは、このPPAPの特性を悪用して感染を広げました。パスワード付きZIPファイルを受信者が無防備に展開し、ウイルスに感染してしまう危険性が潜んでいるのです。
3. 受信側の利便性の低下
セキュリティ面だけでなく、利便性も最悪です。受信者は、ファイルとパスワード、2通のメールを開いて、毎回パスワードを手入力しなければなりません。
特にファイル転送が頻繁な業務では、この手間が積み重なり、結果的に業務効率を大きく低下させる要因となっています。
「PPAPは時代遅れ」という認識は広まりましたが、「じゃあ、代わりにどうする？」という問いに、現場レベルで明確な答えが見えていないことが、脱却を妨げる最大の壁となっています。
代替策は「一長一短」。コスト、利便性、セキュリティの壁
PPAPの代替策として、現在主流となっているいくつかの手段と、それぞれの現場の実感を比較してみましょう。
| 手段 | メリット | デメリット | 現場の実感（特に中小・フリーランス） |
| セキュアファイル転送サービス （HENNGE、GigaCCなど） | 監査ログ、アクセス制御、有効期限設定などセキュリティ機能が充実。大企業のポリシーを満たしやすい。 | コストが高い。UIが煩雑。相手にもアカウント登録や専用操作が必要な場合があり、相手の負担が大きい。 | 規制業界では必須だが、現場では「使いにくい」「コストが見合わない」という不満が多い。 |
| クラウドストレージ （Google Drive, OneDrive, Dropbox, Box） | 大容量、共同編集、利便性が高い。ファイルリンク共有で誤送信リスクを低減。 | 無料/有料の区別が外部から不可能なため、ドメインごと遮断されることがある。管理の不備で誤共有リスクも。 | 「便利だが相手に届かない」問題に直面。特に中小・フリーランス層は、相手企業の厳しすぎるポリシーに苦しむ。 |
| 法人契約クラウド （GWS/M365 Enterprise, Box Enterprise） | 監査ログ、権限管理、国内DC対応など、高度なセキュリティとオフィスツールの統合。 | コストが跳ね上がる。「保険料」と割り切れる規模が必要。相手方のポリシーによっては、やはり受け取れない可能性も残る。 | 規制業界や大手企業では必須。中小には「高嶺の花」で、利便性とセキュリティのバランスに悩む。 |
| メール本文にリンク＋ワンタイム認証 | 利便性とセキュリティのバランスが良い。ファイルを添付しないため、メール容量を気にしなくて良い。 | スパム判定で届かない場合がある。キャリアメール宛では不安定な場合も。システム導入・運用コストがかかる。 | 比較的主流化しつつあるが、相手側の環境依存でトラブルになることがあり、確実性に欠ける。 |
1. クラウドストレージの「正規ユーザーなのにブロック」問題
私自身、個人事業主としてDropboxの有償契約を利用しているのですが、この問題には本当に頭を抱えています。
ファイルを安全に共有するため、正規の有償サービスを利用し、リンク共有を設定しているにもかかわらず、一部の取引先からは「Dropboxのドメインは無料版との区別がつかないため、セキュリティポリシーにより遮断しています」という回答が返ってきます。
こちらがセキュリティを強化したはずなのに、相手にとっては「怪しいファイル共有リンク」と一律で判断され、業務効率を下げる原因になってしまうのです。これは、相手企業が「セキュリティを優先しすぎて、利便性を無視した過剰なブロック」を行っている結果であり、特に零細企業や個人事業主が大手企業と取引する際に直面する大きな矛盾と言えるでしょう。
2. セキュア転送サービスの「高コスト・低利便性」問題
Box EnterpriseやHENNGEのような「セキュリティ特化型」のサービスは、確かに安心感があります。しかし、月額数千円〜数万円といったコストは、ファイル共有頻度が少ない中小企業や個人事業主にとっては大きな負担です。
また、「UIが複雑」「相手にアカウント登録を求めることがある」といった利便性の低さも、現場での普及を妨げています。結局、「使いにくい」ために現場がPPAPに戻ったり、別の無料サービスを使ってしまい、かえってシャドーIT（管理外のIT利用）のリスクを高めることにもなりかねません。
脱PPAPは「絶対の正解」から「現実的な最適解」へ
では、この迷走の出口はどこにあるのでしょうか？
結論から言うと、「これが絶対の正解」という一本道は、残念ながらまだ見えていません。
脱PPAPの取り組みは、もはや「技術の問題」というより、「ビジネス上のリスクとコスト、そして利便性のバランスをどう取るか」というポリシーと運用設計の問題に移行していると言えます。
1. 正解なき時代の「現実的な最適解」とは
多くの企業にとって、最も現実的な落としどころとなりつつあるのが、「Microsoft 365（OneDrive/SharePoint）やGoogle Workspace（Google Drive）の法人契約版」の活用です。
オフィスツールと一体化しているため、導入コスト（全体として）が許容しやすく、ユーザーの利便性も比較的高い。さらに、法人契約版であれば、監査ログやアクセス権限の詳細設定も可能です。
ただし、この選択肢も「相手方のポリシー次第で受け取れない可能性がある」という根本的な課題は残ります。結局、日本の企業全体で「どのクラウドストレージの法人ドメインを信頼し、許可するのか」という共通のルール、あるいは「共通の認証基盤」が整備されない限り、この問題は解消しないでしょう。
2. 求められるのは「相互理解に基づく柔軟な運用」
中小企業やフリーランスの立場からすれば、高額な専用サービスを導入するのは非現実的です。今できる最適解は、以下のようになるのではないでしょうか。
- 法人契約または有償版のクラウドストレージを使い、できる限りセキュリティを担保する。
- ファイルを送る前に、相手方のファイル受信ポリシー（クラウドストレージのドメイン許可状況、ファイルサイズ制限など）を事前に確認する。
- もし相手側でクラウドストレージがブロックされている場合は、「相手方が指定するセキュアな方法」（相手企業の専用ファイル転送サービスなど）に従う。
- それでも代替手段がない場合にのみ、「例外」としてPPAPを容認する、という明確な社内・業務ルールを設ける。
特に重要なのは、2番目の「事前のポリシー確認」です。これを怠ると、「送ったはずなのに届いていない」「ブロックされたせいで納期が遅れた」といった、本末転倒な事態に陥ってしまいます。
脱PPAP、中小企業が今すぐ取り組むべき3つのアクション
最後に、脱PPAPに悩む中小企業や個人事業主の方が、すぐにでも取り組むべき「現実的なアクション」を3点にまとめてみます。
- セキュリティと利便性のバランスを重視したツール選定
- コストと利便性から、まずはGoogle WorkspaceやMicrosoft 365などの法人契約版クラウドストレージの導入を最優先で検討しましょう。これが現時点での「現実的な最適解」に最も近いです。
- 相手企業への「事前確認」をルール化
- PPAPが使えない以上、ファイル転送前に必ず相手方の受信ポリシー（許可されているサービス、制限など）を確認する手間を業務フローに組み込みましょう。「届かない」リスクを防ぐ最大の防御策です。
- PPAPを「最終手段」とする明確な例外ルールを設定
- 基本的にはPPAPを禁止しつつも、「相手が代替策を持たない場合」や「緊急時」など、やむを得ない場合にのみ容認する明確な運用ルールを作り、従業員・関係者に周知徹底しましょう。例外ルールで運用の柔軟性を残すことが重要です。
あなたの「最適解」は？ぜひ教えてください！
私は今、セキュリティ強化のためにDropbox有償契約を使っているものの、相手方のドメイン遮断ポリシーで業務が滞ってしまうという矛盾に直面しています。PPAPが時代遅れだと分かっているのに、代替策も一長一短で、どれも決め手に欠けると感じています。
今後、本当にクラウドストレージ（法人版）がビジネスの標準になるのでしょうか？それとも、HENNGEのような専用のセキュア転送サービスが業界標準として君臨するのでしょうか？あるいは、メール本文リンク形式のような、もっとライトで確実な新しい仕組みが登場するのを待つべきなのでしょうか？
もし、みなさんの会社や業界で「これが一番現実的で、かつトラブルが少ない」という「最適解」が見つかっている方がいらっしゃいましたら、ぜひコメント欄で教えていただけると嬉しいです！
本日も最後までお読みいただきありがとうございました。
それでは、よいメールライフを！
