PPAP
ファイルをパスワード付きZIPにして1通目のメールで送り、2通目のメールでパスワードを送る運用のこと。
パスワード付きZIP送付+別送パスワード
認証付きダウンロード/アクセス制御付き共有
ファイルを添付せず、相手にログインしてもらってから渡す方式。誰がいつ取得したかの記録、期限、失効、相手ごとの権限を扱える。
認証付き共有
パスワード付きZIP添付
ファイルをパスワードで暗号化したZIP形式にしてメールに添付すること。
同じメール系統でのパスワード別送
ZIPを送ったのと同じメール環境・同じ受信箱に、後から別便でパスワードを送ること。
パスワードの別送
メールの盗聴対策(秘匿性)
メールの内容を送受信者以外に読まれないようにする性質。
誤送信時の被害
メールの宛先を間違えたときに、内容やそれに続くパスワードまで誤った相手に届いてしまう被害。
誤送信事故
マルウェア検査のすり抜け
添付ファイルが暗号化されているために、メール配送経路上のセキュリティ製品による検知・検疫を回避してしまうこと。
Emotet
パスワード付きZIP添付を悪用して感染を広げたマルウェア(攻撃メール)。
送信者の真正性
メールやファイルの送信者が名乗った本人であることを証明できる性質。
メール・ファイルのアクセス制御
誰が閲覧・取得できるかを制限し、あとから権限を変更できる仕組み。
TLS/STARTTLSによる通信路保護
メールの通信そのものを暗号化する仕組み。守るのは通信路だけで、届いた先のメールボックスの中では平文に戻る。
通常の業務メール
機密ファイルの受け渡しを伴わない、日常的な業務連絡のメール。
S/MIME
証明書を使ってメールに電子署名や暗号化を施し、送信者が本人であることと改ざんされていないことを受信側が確認できるようにする仕組み。
機密ファイルの受け渡し
相手を限定し、閲覧権限や失効を管理したい機密性の高いファイルの受け渡し。
リンク・アクセス権の失効
いったん渡したリンクやファイルへのアクセスを、あとから無効にできること。
失効
共有の有効期限
共有リンクやアカウントのアクセス権に設定する、期限が来ると無効になる仕組み。
OneDrive/SharePointの共有機能
特定のユーザーを指定した共有、有効期限の設定、パスワードの設定ができるMicrosoft 365の共有機能。
Googleドライブの共有機能
相手を指定して閲覧者・編集者などの権限を分けられ、対象アカウントではアクセスに有効期限を付けられるGoogle Workspaceの共有機能。
パスワードの別経路手動伝達
どうしても添付でファイルを送る必要がある場合に、暗号化ファイルとパスワードをメールとは全く別の経路(電話・SMSなど)で伝える暫定策。
電話・SMSでのパスワード伝達
PPAPはファイルをパスワード付きZIPにして送る運用である。
PPAPはZIPと同じメール系統で、後から別便としてパスワードを送る。
同じメール系統・同じ受信箱に送ると、ZIPを見られる人とパスワードを見られる人がほぼ同じになり、盗聴対策としては弱い。
宛先を間違えると復号用パスワードも同じ誤った相手に届いてしまう。
添付ファイルが暗号化されているため、メール配送経路上のセキュリティ製品の検知・検疫をすり抜けやすい。
Emotetの攻撃メールは、パスワード付きZIPによる検査すり抜けを悪用して受信者の手元に届いた。
PPAPは送信者が本物であることを証明しない。
誰がいつダウンロードしたか、失効できるか、権限を分けられるかといったアクセス制御をほとんど持たない。
通常の業務メールは、TLS/STARTTLSのような通信路保護を前提にすべきである。
送信者の真正性、改ざん検知、メール本文自体の暗号化が必要な場合は、S/MIMEを検討するのが筋である。
S/MIMEは証明書によって、送信者が本人であることを受信側が確認できるようにする。
相手本人だけにファイルを渡し、閲覧権限を制御し、あとから失効したい場合は、添付より認証付きダウンロード/アクセス制御付き共有のほうが自然である。
非公開情報を扱う共有には、認証機能とアクセス制御が必要になる。
誤送信のあとで、リンクの失効やアクセス権の削除によって止められることが要件になる。
URLとトークンの両方に有効期限を持たせることが要件になる。
PPAPは送った時点で止められず、失効という統制手段を持たない。
特定のユーザーを指定した共有によって、相手を限定した認証付き共有を実現できる。
閲覧者・編集者などの権限指定によって、相手を限定した認証付き共有を実現できる。
共有リンクに有効期限とパスワードを設定できる。
対象となる職場・学校アカウントでは、アクセスに有効期限を付けられる。
機密ファイルの受け渡し方式として、PPAPに代わって位置づけられる。
相手の事情でどうしても添付が必要な場合に限り、暗号化ファイルとパスワードを別経路で伝える暫定策として推奨される。