金融庁もついに「NO」！ PPAPを未だ使っている企業がDX？
「パスワード付きZIPファイルをメールで送ります」「パスワードを送ります」。
もはや日本企業の風物詩とも言えるファイル共有方法「PPAP」。しかし、そのセキュリティ上の脆弱性は長らく指摘され続けてきました。そしてついに、金融庁が金融機関に対し、このPPAPの利用を改めるよう求める動きを見せていることが報じられました（参考：公開鍵とPKIのブログ「金融庁、ついに金融機関へ「パスワード付きZipファイル送付の慣行を改めて」と要請。検査・モニタリングで是正を確認へ」）。
金融機関という、きわめて高いセキュリティレベルが求められる業界でさえ、長らく慣習として続けられてきたPPAP。この事実は、PPAP問題の根深さと、多くの企業がいかにそのリスクに無頓着であったかを浮き彫りにしています。
なぜPPAPがこれほどまでに問題視されるのか、そしてなぜ多くの企業がその利用から脱却できないのか、その背景にある組織的な課題や経営層の意識についても踏み込み、この問題を整理してみました。
PPAPはなぜセキュリティ対策として効果がないのか？
PPAPがセキュリティ対策として効果が薄い、あるいは皆無である理由は、これまでも多くの専門家やメディアによって指摘されてきました。主な理由は以下の通りです。
- 盗聴リスクの高さ: メール本文が盗聴された場合、ファイルとパスワードが同じ経路で送られるため、両方が一度に攻撃者の手に渡ってしまいます。これでは暗号化の意味がありません。
- マルウェア感染のリスク: 金融庁の指摘にもあるように、パスワード付きZIPファイルは、ウイルス対策ソフトによるマルウェアスキャンをすり抜けてしまうことがあります。受信者がファイルを開封し、パスワードを入力して初めてマルウェアに感染するというケースは後を絶ちません。これは、攻撃者にとって格好の攻撃手段を提供していることに他なりません。
- パスワードの脆弱性: 送られてくるパスワードが推測しやすいものであったり、毎回同じようなものが使われたりしていては、容易に解読されてしまいます。また、パスワードを別途連絡する手間から、簡易なパスワードが設定されがちなのも問題です。
- 誤送信時のリスク: ファイルとパスワードを別送したとしても、宛先を間違えれば、意図しない相手に重要な情報が渡ってしまうリスクは依然として残ります。
これらの理由から、PPAPは「セキュリティ対策をやっているふり」に過ぎず、むしろセキュリティインシデントを引き起こす温床となりかねません。
「みんなやっているから」では済まされない！
金融庁が金融機関に是正を求めるほど問題のあるPPAPが、なぜこれほどまでに多くの企業で使い続けられているのでしょうか。その背景には、日本企業特有の構造的な問題や心理的な要因が複雑に絡み合っています。
- 慣習という名の思考停止: 「昔からこうやっているから」「うちの会社ではこれが普通だから」。一度定着した業務フローを変更することへの抵抗感や、新しい方法を導入する手間を避けたいという心理が、変化を阻害。
- 代替手段への無知とコスト懸念: PPAPに代わる安全なファイル共有方法（クラウドストレージの共有リンク機能、専用のファイル転送サービスなど）の知識が不足していたり、導入や運用にかかるコストを過度に懸念したりするケース。
- 取引先との「忖度」文化: 自社としてはPPAPを廃止したくても、主要な取引先がPPAPでのやり取りを求めてくる場合、関係性を考慮してなかなかやめられないというジレンマがある。業界全体で脱却の機運が高まらない限り、個々の企業の努力だけでは限界があるという側面も否定できない。
- 「対策している感」という名の自己満足: 実質的な効果は薄くとも、「パスワードをかけている」「一手間かけている」という行為自体が、セキュリティ対策を講じているという一種の安心感や免罪符を与えてしまい、問題の本質から目を逸らさせている可能性がある。
リスクはわかっているはずなのに対策が進まない組織の病巣
企業によっては、情報システム部門などがPPAPのリスクを十分に理解しているにも関わらず、具体的な対策が進まないケースが見受けられます。金融機関でさえ慣習として残っていたという事実は、この問題の根深さを示唆しています。その背景には、以下のような組織的な課題が潜んでいると考えられます。
- 心理的安全性の欠如: 「波風を立てるような提案はしたくない」「面倒なことを言い出すと自分が損をする」といった空気が支配的だと、リスクを指摘したり、改善策を提案したりする声は上がりにくくなります。現状維持が最も安全な選択肢となってしまうのです。
- 縦割り組織の弊害と無関心: セキュリティ対策は全社的に取り組むべき課題であるにも関わらず、部署間の連携が希薄で、「それは情報システム部門の仕事」「自分の部署には直接関係ない」といった当事者意識の欠如が蔓延していると、問題の解決は一向に進みません。リスクの押し付け合いや責任の所在の曖昧さが、対策の遅延に拍車をかけます。
このような組織風土のもとでは、一部の社員が危機感を抱いても、その声は組織にかき消され、結果として危険な状態が放置され続けることになるのです。
PPAPで信頼を失うIT企業
特に深刻なのは、顧客に対してITソリューションやセキュリティサービスを提供する立場にあるはずのSI事業者やITベンダー自身が、未だにPPAPを平然と利用しているケースです。これは、自社のセキュリティ意識の低さや、最新のセキュリティ動向に対する知識・技術力の欠如を自ら露呈しているに等しい行為と言えるでしょう。
金融庁が名指しで是正を求めるほど問題視されている手法を、ITの専門家であるはずの企業が使い続けているという事実は、顧客からの信頼を著しく損なう可能性があります。
「自社のセキュリティもまともにできない会社に、我が社のシステムや情報を任せられるのか？」。
そうした疑念を抱かれるのは当然です。PPAPの利用は、もはや企業のブランドイメージや競争力に関わる重大なリスクとなり得ることを、IT企業は真摯に受け止めるべきです。
問われる経営者の本気度：サイバーセキュリティはコストではなく「投資」である
PPAP問題に限らず、企業が旧態依然としたセキュリティ対策から脱却できない根本的な原因は、多くの場合、経営層のITおよびサイバーセキュリティに対する意識の低さや理解不足に帰結します。つまり、経営課題として、セキュリティやITを捉えていないと言うことでしょう。
経営者がサイバーセキュリティを単なる「コストセンター」として捉え、その戦略的重要性を十分に認識していなければ、適切な予算配分や体制構築は進みません。現場からリスクが報告されても、その深刻さが経営層に響かなければ、具体的な対策は後回しにされ、インシデント発生という最悪の事態を招きかねません。
金融庁が金融機関に対してPPAP廃止を促すという動きは、サイバーセキュリティが単なるIT部門マターではなく、事業継続を左右する重要な経営課題であることを明確に示しています。DXを推進し、企業価値を高めていくためには、経営者自らが率先してセキュリティ意識を向上させ、安全な事業環境の構築に向けた強いリーダーシップを発揮することが不可欠です。
PPAPとの決別もできずにDXを語るなかれ
PPAPは、有効なセキュリティ対策ではありません。その利用を惰性で続けることは、情報漏洩やマルウェア感染のリスクを高め、企業の社会的信用を失墜させる危険性をはらんでいます。金融庁が動いたという事実に、真摯に向き合うべきです。
慣習や組織の壁、コスト意識といった課題を乗り越え、クラウドストレージの活用や専用のファイル転送サービスの導入など、より安全で効率的な情報共有手段へと速やかに移行することが求められています。そのためには、従業員一人ひとりの意識改革はもちろんのこと、何よりも経営層の断固たる決意と、全社を挙げて取り組むという強い意志が不可欠です。
あなたの会社は、いつまでPPAPという"過去の遺物"に縛られ続けますか？ DXを語る以前に、まずはいまのリスクを直視し、当たり前のことに向きあうべきです。それが、企業の持続的な成長と信頼確保の鍵となり、DXにつながることを自覚すべきです。
今年も開催！新入社員のための1日研修・1万円
AI前提の社会となり、DXは再定義を余儀なくされています。アジャイル開発やクラウドネイティブなどのモダンITはもはや前提です。しかし、AIが何かも知らず、DXとデジタル化を区別できず、なぜモダンITなのかがわからないままに、現場に放り出されてしまえば、お客様からの信頼は得られず、自信を無くしてしまいます。
営業のスタイルも、求められるスキルも変わります。AIを武器にできれば、経験が浅くてもお客様に刺さる提案もできるようになります。
本研修では、そんないまのITの常識を踏まえつつ、これからのITプロフェッショナルとしての働き方を学び、これから関わる自分の仕事に自信とやり甲斐を持ってもらおうことを目的としています。
参加費：
- 1万円（税込）／今年社会人となった新入社員と社会人2年目
- 2万円（税込）／上記以外
お客様の話していることが分かる、社内の議論についてゆける、仕事が楽しくなる。そんな自信を手にして下さい。
現場に出て困らないための最新トレンドをわかりやすく解説。 ITに関わる仕事の意義や楽しさ、自分のスキルを磨くためにはどうすればいいのかも考えます。詳しくはこちらをご覧下さい。
100名／回（オンライン／Zoom）
いずれも同じ内容です。
【第1回】 2025年6月10日(火)
【第2回】 2025年7月10日(木)
【第3回】 2025年8月20日(水)
営業とは何か、ソリューション営業とは何か、どのように実践すればいいのか。そんな、ソリューション営業活動の基本と実践のプロセスをわかりやすく解説。また、現場で困難にぶつかったり、迷ったりしたら立ち返ることができるポイントを、チェック・シートで確認しながら、学びます。詳しくはこちらをご覧下さい。
100名／回（オンライン／Zoom）
2025年8月27日(水)
【図解】これ1枚でわかる最新ITトレンド・改訂第5版
生成AIを使えば、業務の効率爆上がり？
このソフトウェアを導入すれば、DXができる？
・・・そんな都合のいい「魔法の杖」はありません。
神社の杜のワーキング・プレイス 8MATO
8MATOのご紹介は、こちらをご覧下さい。