PPAPに代わる製品を選ぶときはココに注目！ ［セキュリティ機能チェックリスト付き］

この記事では、PPAPの廃止にともなう代替ソリューション選びで重要なポイントをまとめています。また、オンラインストレージ型ファイル共有ソリューションで必要とされるセキュリティ機能リストも掲載しています。 ソリューションを選ぶ際のチェックリストとして活用してください。

「脱PPAP」が加速するなか代替ソリューション選びに悩む企業

2020年11月に日本政府が、パスワード付きZIPメールである「PPAP」の廃止を宣言してから、すでに5か月が過ぎました。ネーミングの妙もあって世間的にも注目されましたが、この流れを受けて多くの企業が慌ただしく動いています。

社内でのPPAP廃止を公表するユーザー企業が続々と登場する一方、メールのセキュリティソリューションを提供しているベンダー各社は、商機とばかりに製品の売り込みに力を入れています（このブログ以外にもPPAP関連の記事や広告を数多く目にしたはずです）。しかし、政府はNGを突きつけたものの、その代わりを明確に示していないため、現場ではちょっとした混乱も起きています。特に「自動PPAP」ソリューションを導入していた企業のIT担当者は、「どの製品に乗り換えればいいのか？」と頭を悩ませています。

PPAPの乗り換え候補として宣伝されている製品の中には、PPAP問題を根本的に解決できていない「的外れ」なものもあり、それがこの問題をより一層難しくしています。「宣伝文句を信じて導入したら、あとあと困ってしまった」とならないように、目的や要件をしっかりと踏まえて代替ソリューションを選ぶ必要があります。

自動PPAPを導入したとき、「パスワード付きZIPメール方式」という点には疑問を抱くことなく、「手作業よりは楽で正確だから」「プライバシーマークの取得に必要だから（これは誤解です）」といった理由で選んでしまったのではないでしょうか。今回、その大前提が崩れてしまったわけですが、二の舞を演じないためにも適切な製品選びが求められます。またPPAPからの移行は、セキュリティ改善に加えて企業としての信頼性やブランディングにも影響します。海外では法令などもあってZIPファイル添付は主流ではなく、セキュリティ上かえって警戒されたり受信拒否されたりするケースもあります。海外企業とのやり取りがあるなら、国際的に認知されているソリューションも検討すべきでしょう。

代替ソリューションが備えるべきセキュリティ機能

前回のブログ記事でも触れたように、会社などの組織を越えたファイル送信（個人対個人のメッセージコラボレーション）で有力な選択肢は、オンラインストレージ連携型※のファイル共有ソリューションです。PPAPからの乗り換えとして見ると、オンラインストレージ機能を重視するか、「メール添付」という従来のユーザー体験を重視するかの違いはあるものの、「ファイル自体の共有はオンラインストレージ経由で」という方向性は多くのベンダーで共通しています。

※ここでの「オンラインストレージ」とは、SaaSとしてオールインワン提供されるものからサーバーを自社で管理するものまで含まれます。

ただし、同じオンラインストレージ連携型ファイル共有ソリューションでも、その機能を詳細に見ていくとさまざまな違いがあります。使い勝手や社内システムとの連携については各社ごとに適したものを選べばよいのですが、特に注意を払ってほしいのがセキュリティ関連の機能です（PPAPにセキュリティ上の問題があるから乗り換えるわけですから、これは当然でしょう）。

セキュリティ関連の機能は、目的や想定する脅威、データの重要度に応じてさまざまなレベルの仕組みや技術が存在します。以下に、オンラインストレージ連携型ファイル共有ソリューションで想定されるセキュリティ関連機能や技術を紹介します。これらはエンドユーザーが意識するものではありませんが、情報システム部で製品選びの担当者なら、概要だけでも把握しておくべきでしょう。どのようなものがあるのか、そのうちどれが自社にとって必要かなど、検討時のチェックリストとしても役立つはずです。

オンラインストレージ連携型ファイル共有ソリューションで必要とされるセキュリティ機能一覧

ここで紹介したセキュリティ機能は、実はプログレスが提供するオンラインストレージ連携型ファイル共有ソリューション「MOVEit」シリーズに実装されているものの一部です。これらを適切に組み合わせて利用することで、セキュリティレベル、使いやすさ、コストのバランスを取ることができます。

専門機関の評価を参考に製品の安全レベルを判断

「MOVEit」シリーズをはじめ、オンラインストレージ連携型ファイル共有ソリューションは数多くあります。先述のセキュリティ機能一覧表を参考に各ソリューションを評価すればよいのですが、選択肢がいくつもあると時間も手間もかかって楽ではありません。その場合、客観的な評価を参考にして、最初にある程度絞り込むことをお勧めします。

セキュリティ分野の製品には、さまざまな専門機関が定めた基準が存在し、それらをクリアした製品は認証・認定されます。必要な機能を備えているかどうかは製品資料などから調べられますが、どれだけ信頼できるかどうかは試してみなければわかりません（実際に何かインシデントが起きるまでわかりません）。世の中に100％完ぺきなセキュリティは存在しませんが、それでもより高い安全レベルを求める場合、そのような専門機関が定めた基準をクリアしているかどうかは非常に大きな判断材料になります。例えば、以下は世界および日本で高く認められているセキュリティ要件や認定・認証です。

• GDPR：EU一般データ保護規則
• FIPS：米国国立標準技術研究所（NIST）が発行する情報処理の標準規格
• FIPS140-2：暗号モジュールのためのセキュリティコード
• HIPAA：医療情報の電子化に関するプライバシー保護やセキュリティについて定めた米国の法律
• PCI DSS：クレジット業界におけるグローバルセキュリティ基準
• ISO/IEC 27001：情報セキュリティマネジメントシステム（ISMS）に関する国際規格
• SARBOX：上場企業会計改革および投資家保護について定めた米国の法律（サーベンス・オクスリー法）
• CC（ISO/IEC 15408）：情報技術セキュリティの観点からシステムを評価するための国際標準規格

「MOVEit」シリーズは、上記で説明しているGDPR、FIPS、HIPAA、PCI DSS、SARBOXといったセキュリティ要件の準拠や認定をクリアしています。また、米国障害者法（ADA）の基準に準拠しており、障害をもつ方に配慮した設計を実装しています。

代替ソリューション選びで悩まれているIT担当者の方は、ぜひご検討ください。