「パスワード付きZIPを送り、直後に別メールでパスワードを送る」——いわゆるPPAPは、長らくビジネスメールの定番でした。ですが取引先から「PPAPは受け付けません」と案内が来たり、方針を見直す中で「そろそろ脱PPAPを」と考え始めた方も多いのではないでしょうか。

とはいえ、専任の情シスがいない中小企業や士業事務所では「何から手をつければいいか分からない」のが本音だと思います。誰がどこでPPAPを使っているかを把握し、代わりの方法を決め、社内と取引先に周知する——この順番で進めるのが近道です。この記事では、背伸びせず始められる進め方を3つのステップで整理します。

この記事でわかること

  • なぜ今、中小企業でもPPAP廃止を進めるべきなのか
  • 脱PPAPを無理なく進める具体的な3ステップ
  • 代替手段を選ぶときの要件と、よくあるつまずき

なぜ今、脱PPAPなのか

PPAPが問題視される理由はシンプルです。パスワードを同じメール経路で送るため、メールを盗み見られれば暗号化ZIPも鍵もまとめて相手に渡ってしまいます。加えて暗号化ZIPは受信側のウイルスチェックをすり抜けやすく、マルウェアの温床にもなり得ます。こうした事情からPPAPの受け取りを断る企業が増えており、続けていること自体が取引上のマイナスになりかねません。背景は脱PPAPガイドにまとめています。

ステップ1：現状把握（どこで誰が使っているか棚卸し）

いきなりツール選びから入ると、現場の実態と合わず形骸化します。まずは自社の使い方を棚卸ししましょう。

  • どの部署・誰が、外部にファイルを送っているか
  • どんなファイルを、どのくらいの頻度で送っているか（見積書、契約書、個人情報を含む書類 など）
  • 受け取り側はどんな相手か（ITに詳しくない取引先も含まれるか）

「機密度の高いファイルを日常的に送るのは経理と営業」といった実態が見えてきます。全社一律で考えるより、影響の大きい業務から置き換えるほうが現実的です。

ステップ2：代替の受け渡し方法を決める

代替手段は、次の要件を満たすかで見ると選定の軸がぶれません。

確認したい要件なぜ必要か
受信側の負担が軽いアプリ導入や会員登録を強いると使ってもらえない
宛先メールの確認ができる送り先が正しい相手かをひと手間で確かめられる
有効期限・DL回数の制限送りっぱなしを防ぎ、放置リンクを残さない
誤送信対策がある宛先やファイルの取り違えに送信前に気づける
データの置き場所が明確どこの国・誰の管理下に預けるかを把握できる（データ主権）

特に見落としがちなのが「受信側の負担」と「データの置き場所」です。登録不要で受け取れるかは使い続けられるかを左右し、海外クラウドへの保管に抵抗がある取引先もいるため、保管場所も事前に確認しておきましょう。

ステップ3：社内ルール化と周知、取引先への案内

方法が決まったら運用ルールとして明文化します。「外部へのファイル送信は◯◯を使う」「PPAPは原則禁止」と決め、送信手順を1枚のマニュアルにまとめると定着しやすくなります。

取引先への案内も忘れずに。次のような一文を切り替え前にメール署名や案内文へ添えると、相手も戸惑いません。

弊社では、セキュリティ強化のためパスワード付きZIP（PPAP）を廃止し、ファイルは専用リンクでお送りしております。受け取りに会員登録は不要です。

よくあるつまずき

  • 現場に相談せず導入を決める：使いにくいと元のメール添付に戻ります。ステップ1の棚卸しが効きます。
  • 相手に手間を強いる方式を選ぶ：受け取りのたびにアプリ導入が必要だと敬遠されます。
  • リンクを送りっぱなしにする：期限も回数制限もないと、放置リンクがリスクになります。

ForceDriveでの置き換え

ForceDriveは、PPAPの代替をブラウザだけで実現する法人向けのセキュアファイル送受信サービスです。アップロードするとURLが発行され、送信者はいつものOutlookなどから手動で送信、相手は登録不要で受け取れます。

受け渡しはワンタイムコード・パスワード・公開リンクの3方式です。ワンタイムコードは宛先メールに届く6桁のコードを入力してもらい、その宛先メールにアクセスできることを確認して渡す仕組みです（用語集）。有効期限やDL回数の制限、期限切れの自動削除にも対応します。

アップロード時に全ファイルをウイルスチェックし、安全と確認できたものだけを共有できます。PPAP形式は自動でブロックし、マイナンバーや電話番号などの個人情報が含まれれば機械的に検知して警告します。打ち間違いドメイン検知などの誤送信対策も「警告のみ」から「送信ブロック」まで会社方針に応じて選べます。これらのチェックでファイルの中身を外部の生成AIに送ることはなく、国内・自社データセンターでの運用のため保管場所も明確です。

まとめ：まずは棚卸しから

脱PPAPは、ツール導入がゴールではなく、使用実態を把握し、無理のない代替に置き換え、周知するまでが一連の流れです。完璧を目指して止まるより、影響の大きい業務から小さく始めるほうが確実に進みます。

まずはステップ1の棚卸しから着手してみてください。自社に合う進め方や運用イメージを相談したい場合は、お問い合わせからお気軽にご連絡ください。