PPAP：分かっちゃいるけど辞められない皆さんへ

未だ多くの企業からPPAP（zip+暗号化された添付ファイル）が送られてくる。そこそこの大手企業もそうだが、ITベンダーが多いことには、驚きだ。様々な機関やメディアが、PPAPによるマルウェア拡散リスクについて、これだけ注意喚起しているにもかかわらず、それを意に介さずに使っている。

• 警察庁：Emotetの解析結果について
• JPCERT/CC：マルウエアEmotetへの対応FAQ
• 日経新聞：復活したエモテット攻撃　「PPAP」メール拒否で備え

なぜ、PPAPが問題なのかについては、専門家が丁寧に説明をしてくれているので、あえて説明するまでもないが、要点のみ箇条書きしておこう。

• ZIP暗号化ファイルはウイルススキャンができず、マルウェアが忍び込まされていても検知できない。
• パスワードを同じメールで送ってしまうので、そもそもパスワードをつける必要がない
• 受信者が開封してしまうと、その後に誰かに転送しても、送信者には、まったく管理できなくなってしまう

ちなみに海外ではPPAPメールでくると、「マルウェアが来た！」とセキュリティチームで盛り上がるほどなので、使われることはない。しかし、なぜか日本では、この奇習が定着している。

既にPPAPをやめた企業も多いが、先日、苦笑いしたくなるメールが、ある大手ITベンダーから届いた。

「zip暗号化を廃止し、ファイル交換サービスを利用することについてのアンケート」が、PPAPで送られてきたのだ。

こんな話もある。

「セキュリティ強化のため暗号化方式を従来のzipから7-zipに変更します」

こんな案内メールが届いた。もうこうなると笑い話だ。

「安全に添付ファイルを相手に手届けること」が目的であるはずはずのPPAPが、その目的を果たせないにもかかわらず、未だ続いているのはなぜなのだろうか。

• 世の中では、このやり方が定着しており、変更すると業務に支障をきたすから
• 「そんな大騒ぎするほどのことではないでしょう」と内心思っているから
• IT部門にだれも指示をしないから、IT部門も新たな仕事を増やしたくないから

分かっちゃいるけど辞められない。だから「泥棒しても仕方がない」と言う理屈とおなじではないか。

ただ、もう何年も前からPPAPのリスクは語られているのに、ITベンダーが未だ辞められないのは、自分たちが、PPAP製品を売ってきたからなのかも知れない。自分たちが売ったのに、さっさとPPAP辞めますでは、世間体が悪いということなのか。

ITベンダーにITプロフェッショナルとしての矜持があるのなら、まずは率先して過ちを認め、それを正すべきだろう。このままでは、どこかの新聞社みたいに、恥をさらし続けることになるぞ。

DXについても言えることだが、自らが範を示さずに、DXを喧伝している企業もある。そして、こともあろうか、そういう企業がDX実現のためと称して、製品やサービスを売り込んでいる。製品やサービスを売ることがダメだと言いたいのではない。DXとは何か、その目的は何かを曖昧なままに「DXのために」という売り込みをしていることが、残念なのだ。かつて、「セキュリティのために」とメールの「zip暗号化&パスワード自動送信製品」を売っていたわけで、また同じ過ちを繰り返しているように見える。

ITベンダーはもっとプロとしての矜持をただして欲しい。言葉や技術に責任を持って欲しい。正しいこと、つまり技術の本質をユーザー企業に教え、導くことも、大切な役割であることを自覚して欲しい。

たぶん、今度は、「ゼロトラスト・ネットワーク」だろう。これからのクラウド前提の時代に、あるいは、5Gの普及やワークスタイルの多様化を考えれば、とても重要な概念だ。しかし、「ゼロトラスト・ネットワーク」が、「全てを信頼しない」という不十分な、いや、誤った理解のままで、また同じことを繰り返すことにならないようにしてほしい。それよりもなによりも、みんなが使っているからと言うだけで、使うのは辞めようではないか。

ユーザー企業もまた、ITベンダーの提案を正しく評価できる知識を持つべきだ。PPAPもDXもゼロトラスト・ネットワークも、そして様々な製品やサービスについて、言葉や技術についての正しい理解を土台に彼らと議論すべきだろう。

「かき氷はメロン味が美味しいか、イチゴ味が美味しいか。」

そんな議論をしているようなものではないか。どちらも同じ味で色が違うだけのことなのに。物事を表面だけを見て議論するのではなく、本質を見て議論すべきだ。

テクノロジーの発展はめまぐるしく、製品やサービスも雨後の竹の子である。だからこそ、その背後にある本質を正しく理解して、考えなくちゃいけない。PPAP問題は、それができていない現実を知るよき教訓であろう。

【募集開始】次期・ITソリューション塾・第39期（2022年2月9日〜）

次期・ITソリューション塾・第39期（2022年2月9日 開講）の募集を始めました。

コロナ禍は、デジタルへの世間の関心を高め、ITへの投資気運も高まっています。しかし、その一方で、ITに求められる技術は、「作る技術」から「作らない技術」へと、急速にシフトしはじめています。

この変化に対処するには、単に知識やスキルをアップデートするだけでは困難です。ITに取り組む働き方、あるいは考え方といったカルチャーを変革しなくてはなりません。DXとは、そんなカルチャーの変革なしでは進みません。

ITソリューション塾は、ITのトレンドを体系的に分かりやすくお伝えすることに留まらず、そんなITに関わるカルチャーが、いまどのように変わろうとしているのか、そして、ビジネスとの関係が、どう変わるのか、それにどう向きあえばいいのかを、考えるきっかけになるはずです。

• SI事業者／ITベンダー企業にお勤めの皆さん
• ユーザー企業でIT活用やデジタル戦略に関わる皆さん
• デジタルを武器に事業の改革や新規開発に取り組もうとされている皆さん
• IT業界以外から、SI事業者／ITベンダー企業に転職された皆さん
• デジタル人材／DX人材の育成に関わられる皆さん

そんな皆さんには、きっとお役に立つはずです。

詳しくはこちらをご覧下さい。

• 日程 ：初回2022年2月9日(水)～最終回4月27日(水)　毎週18:30～20:30
• 回数 ：全10回＋特別補講
• 定員 ：120名
• 会場 ：オンライン（ライブと録画）
• 料金 ：¥90,000- （税込み¥99,000）
• 全期間の参加費と資料・教材を含む

ITビジネス・プレゼンテーション・ライブラリー