【2026年版】脱PPAPの代替手段を比較｜パスワード付きZIP添付をやめる手順と社内ルールのつくり方

PPAPは「Password付きZIPを送ります・Passwordを送ります・Angoka（暗号化）・Protocol」の頭文字を取った俗称です。転機は2020年11月。平井デジタル改革担当大臣（当時）が11月24日の記者会見で、内閣府・内閣官房での自動暗号化ZIPファイルの廃止を表明し（同月26日から実施）、この方式はセキュリティ対策の観点からも受け取る側の利便性の観点からも適切ではない、との認識を示しました。この動きはその後、他の省庁や自治体、民間企業へと広がっていきます。

廃止が進んだ理由は、セキュリティ効果がほぼないからです。

• 同じ経路で送るなら暗号化の意味がない — メールが盗聴されるなら、後送のパスワードも同じように盗聴されます
• ウイルス検査をすり抜ける — 暗号化ZIPは経路上のセキュリティ製品が原則として中身を検査できません。IPA（情報処理推進機構）も、マルウェア「Emotet」がパスワード付きZIPで検知を回避する手口を公式に注意喚起しています
• 誤送信対策にならない — 宛先を間違えたとき、ほとんどの人はパスワードも同じ宛先に送ってしまいます
• 単純に手間 — 圧縮・パスワード生成・別送・解凍の往復は、双方の時間を毎回数分ずつ奪います

企業側の動きはさらに具体的です。日立グループは2021年12月からパスワード付きZIP添付メールの送受信を廃止し、該当メールは配送自体を止めています。ソフトバンクも2022年2月から、パスワード付き圧縮ファイルが添付されたメールを受信した場合に、本文を除くすべての添付ファイルを削除して配送する運用に切り替えました。つまりPPAPで送ると、そもそもファイルが届かない取引先がすでに存在します。いまやPPAPは「古い習慣」ではなく「送る側のリスク」です。

このほか、メールに添付したファイルを自動でダウンロードURLに変換する専用ツール（メールセキュリティ製品の一機能として提供されるものもあります）や、メール自体を暗号化するS/MIMEといった方法もあります。ただ、前者は月額費用が継続的にかかり、後者は相手側にも対応を求めるため、まずは手元のツールで足りるかを確認してからで遅くありません。

自社の状況別・どれを選ぶべきか

• Google WorkspaceやMicrosoft 365を契約済み — クラウドストレージの共有リンク一択。追加費用ゼロで、管理・監査も既存のID基盤に乗ります
• クラウドを使えない取引先が多い — 基本はリンク共有に寄せつつ、使えない相手にだけ法人向けファイル転送サービス（クリプト便、GigaCC、Bizストレージ ファイルシェアなど）を併用
• メールの運用をどうしても変えたくない — 添付ファイルを自動URL化するメールセキュリティ製品を検討。ただし費用が継続的にかかるため、リンク共有への移行を先に検討する価値はあります

使い分けの結論はシンプルで、基本はクラウドストレージのリンク共有に寄せ、それが使えない相手にだけ法人向けの転送サービスを使う、が実務の落としどころです。

Google ドライブを例にすると、ファイルを添付する代わりに共有リンクを送り、閲覧できる相手を「特定のメールアドレスのみ」に制限します。これだけでPPAPの問題点がほぼすべて解消します。

• 送った後に制御できる — 誤送信しても共有を取り消せば以降のアクセスを遮断できる。添付ファイルは送った瞬間に回収不能
• 相手を本人確認できる — 指定したアカウントでログインした人しか開けない。パスワード別送より本質的に安全
• 履歴が残る — 誰にいつ共有したか、Google Workspaceの監査ログで追跡できる
• ウイルススキャンされる — ドライブ側で自動的にスキャンされ（スキャンの上限は100MB）、ウイルスが検出されたファイルは共有がブロックされる
• 常に最新版 — 修正のたびに再送する必要がなく、バージョン管理も自動

脱PPAPの解説の多くは「送り方」だけを扱いますが、実務で困るのはむしろ取引先からPPAPで送られてくるケースです。暗号化ZIPは受信側でも原則として中身をウイルス検査できないため、開封する端末の対策頼みになります。Gmailは中身をスキャンできない添付に警告を表示し、危険なファイル形式を含むものは受信自体をブロックします。Microsoft 365にも、管理者が暗号化された添付ファイルを遮断する設定が公式に用意されています。

• 受信時のルールを決める — 「暗号化ZIPは開かずに、送り主に共有リンクでの再送を依頼する」を基本ルールにする。特に身に覚えのない添付は開かない
• 再送依頼をテンプレート化する — 依頼文を用意しておけば、担当者が気まずさから妥協することがなくなります
• どうしても受け取る場合は限定する — 相手方の事情で変えられない場合は、ウイルス対策の効いた端末でのみ開く運用に絞ります

日立やソフトバンクのような大手が、自社からの送信をやめるだけでなく受信側でも遮断に踏み切ったのは、暗号化ZIPは「受け取ること自体がリスク」だからです。規模が小さい会社でも同じ理屈が成り立ちます。

STEP1：ルールを1枚にまとめて宣言する

「社外へのファイル送付は共有リンクを使う」「ZIP添付は原則廃止」「例外時の手段」をA4一枚にまとめ、会社の方針として配布します。ツールの前にルールを出すのは、現場ごとのバラバラ運用を防ぐためです。

STEP2：送信側から切り替える

まず自社からの送信をすべてリンク共有に切り替えます。受信（取引先がPPAPで送ってくる分）は即座には変えられないため、自社側から始めるのが現実的です。営業・経理など送付頻度の高い部署から順に、実際の操作をレクチャーします。

STEP3：取引先に案内する

短い案内文をテンプレート化し、やり取りの多い取引先に送ります。政府や大手企業の脱PPAPが広く知られたいまは案内への理解を得やすく、むしろセキュリティ意識の高い会社として信頼につながるケースが多いです。

• PPAPはセキュリティ効果がほぼなく、2020年11月の政府（内閣府・内閣官房）の廃止表明以降、省庁・企業に脱PPAPが広がった
• 日立グループやソフトバンクのようにPPAPメールを配送停止・添付削除する大手がすでにあり、PPAPでは届かない取引先が存在する
• 代替の基本はクラウドストレージの共有リンク。事後取り消し・本人確認・監査ログ・ウイルススキャンが揃う
• Google WorkspaceならBusiness Starterの標準機能で脱PPAPは十分可能。アクセス権の有効期限設定が必要ならBusiness Standard以上
• 送る側だけでなく「受け取る側」のルールも決める。暗号化ZIPは開かず、共有リンクでの再送を依頼する
• 定着の順序は「ルール1枚 → 自社の送信から切り替え → 取引先へ案内文送付」

共有ドライブの権限設計や外部共有ポリシーの整備は、Google Workspace導入支援の一環として当社がよくお手伝いしている領域です。「うちの共有設定、これで大丈夫？」という確認だけでも歓迎です。