PPAPをやめてクラウド共有に切り替える手順：送る前に、誰に・いつまで・編集させるかを決める(2026)

取引先からパスワード付きZIPは受け取れないと言われた。自社もやめたいが、代わりの送り方が決まらない。そんな情シス・総務・営業事務の方に向けて、社外とのファイルの受け渡しをクラウドストレージの共有に置き換える段取りをまとめました。本記事でいうPPAPは、パスワード付きZIPをメールで送り、パスワードを別のメールで追って送る運用のことです。

最終更新: 2026年9月25日／内閣府・IPA・JPCERT/CC・Google・Microsoft・Box の公開ページは同日に原文を確認。かぎ括弧「」の文は各ページからの引用、[ ]は各ページに載っている画面上の表記です。「(編集部)」はjisalab編集部の判断です。

なぜやめるのか：公的機関の資料に書かれている範囲

2020年11月24日の平井内閣府特命担当大臣(デジタル改革担当)の記者会見要旨によると、内閣府と内閣官房は自動暗号化ZIPファイルの送付を同月26日に廃止する予定としました。理由は「ZIPファイル送付と同じ経路でパスワードを自動で送る方式は、セキュリティ対策の観点からも、受け取る側の利便性の観点からも、適切なものではないと考えています」と述べられています。

同じ会見では、個人情報など機密性の高いファイルについて「ファイルにパスワードをかけるとともに、全く別の経路でパスワードを知らせるということが、まずは適切な対応ではなかったのかと思います」とも述べています。問題にされたのは、ファイルと同じ経路でパスワードを自動で送る方式です。

受け取る側の危険については、IPAが2020年9月2日、パスワード付きZIPを添付したEmotet(エモテット: メールで感染を広げるウイルス)の攻撃メールを確認したと公表し、この手口では「添付ファイルが暗号化されていることから、メール配送経路上でのセキュリティ製品の検知・検疫をすり抜け、受信者の手元に攻撃メールが届いてしまう確率が高く、より注意が必要です」としています。

JPCERT/CCも同時期の解説記事(CyberNewsFlash)で、この手口では検知や検疫をすり抜けて「メールが配信されてしまうことが想定されます」と書いています。2022年2月の注意喚起(最終更新2023年3月20日)でも、2021年11月後半以降のEmotetの配信形式の1つに「パスワード付きZipファイルとしてメールに添付する形式」が挙げられています。

編集部の読みでは、送る側にとって同じ経路でのパスワード送付は守りとして適切でなく、受け取る側ではパスワード付きZIPを日常的に受け取る職場ほど、同じ形の攻撃メールを見分けにくいと考えます。

手順①② 棚卸しをして、共有の既定を先に決める

手順① 社外に送っているファイルと相手を棚卸しする

部署ごとに、直近3か月で社外に送ったファイルを書き出してもらいます。送信済みメールを拡張子 .zip の添付で検索すると早く集まります。項目は4つで、受け取る業務も含めます。

• ファイルの種類：見積書、契約書のドラフト、図面、名簿など
• 相手：いつもの取引先か初めてか、個人か法人か
• 一方通行か往復か：相手が直して返してくるか
• 相手の事情：クラウドのリンクを開けない、と言われたことがあるか

手順② 種類ごとに共有の既定を決める

棚卸しした種類を下の表に当てはめます。共有範囲はサービスごとに名前が違いますが、考え方はリンクを知っている全員、組織内のユーザー、特定の相手の3段です。社外に渡す書類で基本にするのは特定の相手です。

期限の日数と行の分け方は編集部の推奨例で、自社の取引の周期に合わせて変えてください。サービス側で設定できるかどうか(要件)は、手順③の表で別に確かめます。OneDrive の英語版ヘルプはフォルダーの期限を “only to Anyone sharing” としています。[特定のユーザー] で共有する受け取り用フォルダには期限が付かない前提で、提出後に共有を止めます(編集部)。

職種別の当てはめ

• 営業が見積書を送る：1行目です。担当者のメールアドレスを指定し、閲覧のみ・期限2週間で共有します。先方から上長にも見せたいと言われたら、転送ではなく上長のアドレスを追加します。
• 人事が内定者の書類を受け取る：4行目です。内定者ごとにフォルダを作って本人だけに共有し、提出後は人事の保管先へ移して共有を止めます。相手は個人のメールアドレスのことが多く、Google のビジターは共有ドライブ内のフォルダにしかアップロードできず、Box は招待するとサインアップを求められるなど、手順④の条件の確認が要ります。

手順③ 使っているサービスで、設定する場所を確かめる

表の列の立て方は編集部です。Box の期限と [表示のみ可能] は共有リンクの設定で、ヘルプは「共有リンクを使用しなくてもコラボレータは各自のコンテンツにアクセスできます」としています。リンクの期限だけでは招待した相手のアクセスは止まらないと考えられるため、期限が来たら招待も外してください(編集部)。招待した相手の権限は別で、単一ファイルへの招待は編集者のみ([コラボレータを管理] ページでビューアーに変更可)ですが、ビューアーのダウンロード可否は確認したページでは確かめられませんでした。

見るべきは有効期限の列の条件です。OneDrive の期限はリンクに付き、「設定した日付を過ぎるとリンクは機能しなくなり」、必要な人には新しいリンクを作ります。設定は社外のテスト用アドレスに共有して確かめます。

Microsoft のヘルプは、選択肢が灰色なら「組織の管理者によってオプションが制限されている可能性があります」としています。選べない設定は、社内ルールに書く前に管理者へ確認してください。組織全体の設定はSaaSのセキュリティ設定を固める手順を参照してください。

手順④⑤ 開けない相手への代替を決め、社内ルールにする

手順④ クラウドを開けない相手と、受け取る側の対応

相手がアカウントを持たない場合の各社の案内です。

• OneDrive / SharePoint：職場または学校アカウントで [特定のユーザー] のリンクを送った場合、相手がMicrosoftアカウントを持っていなくても「ワンタイム パスコードをメール アドレスに送信して、身元を確認します。」とされています。
• Google ドライブ：「組織で許可されている場合は」、Googleアカウントを持っていない人をビジターとして招待できます。ビジターは「メールアドレスの確認後 7 日間」閲覧や編集ができ、延長するには元の共有メールのリンクから確認コードで再度本人確認します。共有できる形式は「Google ドキュメント、スプレッドシート、スライド、サイト、画像、PDF、Office ファイル」で、図面の形式によっては対象外の可能性があります。アップロードできるのは共有ドライブ内のフォルダで、マイドライブにはできません。
• Box：アカウントを持たない人を招待すると、サインアップを求める画面が出るとされています。[リンクを知っている全員] のリンクは「Boxアカウントは必要ありません。」とされ、有料アカウントならパスワードを付けられます。転送されても開けるため、期限を付け、パスワードはメール以外で伝えます(編集部)。

どれも使えない相手には、先方のクラウドにアップロード先を作ってもらいます。それも難しいときの最後の手段として、ファイルにパスワードをかけ、パスワードはメール以外の経路(電話・SMS・チャットなど)で伝える運用を残します。内閣府の会見が「全く別の経路」と述べた形です。ただし暗号化された添付が検査を通らない点は変わらないため、例外として件数を記録します(編集部)。

受け取る側のルールも決めます。パスワード付きZIPが届いたら、共有リンクでの再送を返信で依頼するのを基本にします。すぐに開く必要があるときは、送信者に別の経路で送付の事実を確かめてから開きます。IPAも、Word文書ファイル等が信頼できるものと判断できない限り、[コンテンツの有効化] ボタンをクリックしないよう注意を促しています。

手順⑤ 社内ルールにして、取引先へ案内する

社内ルールは1枚で足ります。手順②の表、手順③で確かめた設定場所、手順④の例外の扱いを載せ、取引先への案内文を添えます。

取引先への案内文の例

件名：ファイル送付方法の変更のお知らせ

平素よりお世話になっております。当社では◯月◯日より、パスワード付きZIPファイルでのメール送付を取りやめ、クラウドストレージの共有リンクでお送りします。リンクはご担当者さまのメールアドレスを指定して共有し、閲覧期限を設けています。期限後に必要な場合や、リンクが開けない場合は担当者までご連絡ください。

移行工数は合計およそ21時間、担当者1人で3日弱です(編集部の試算)。前提は社員50人、社外に送る部署4つ、主要取引先80社、契約済みのクラウドストレージ1つです。

• 手順①：部署ごとの聞き取り30分×4部署＋集計1時間＝3時間
• 手順②：表のたたき台1時間＋部署の責任者との合意1時間＝2時間
• 手順③：テスト用アドレスへの共有と期限切れの確認＝2時間
• 手順④：開けない相手(1割の8社と仮定)への個別対応30分×8社＝4時間
• 手順⑤：ルール文書の作成2時間＋社内説明1時間＋取引先への案内の送付と返信対応5分×80社(約6.7時間)＝約9.7時間

取引先数と開けない相手の割合を、自社の数字に置き換えてください。

切り替えたあとの注意点：転送・期限切れ・社外の人のアクセス・誤送信

• リンクの転送：Microsoft のヘルプは [すべてのユーザー] のリンクについて、所有者から直接受け取ったか転送されたかは「関係ありません」としています。一方 Microsoft Learn は、[特定のユーザー] のリンクを「転送不可で取り消し可能な秘密キー」と説明し、指定されたユーザー以外が開いても機能しないとしています。サポートページには「ただし、他のユーザーが既にアクセス権を持っている場合もあります。」との留保もあります。社外向けに全員リンクを既定にしない理由です。
• 期限切れ後：問い合わせは担当者が受け、共有し直します。
• ダウンロード制限の限界：Google のヘルプは、ダウンロードや印刷を制限できても「他のユーザーがファイルの内容をその他の方法で共有することまでは制限できません」としています。
• 社外の人のアクセス：受け取り用に招いた人や、終わった案件の共有は残りがちです。Google のヘルプは「ビジターのアクセス権限はいつでも削除できます。」としています。案件が終わったら外し、棚卸しは入退社でSaaSアカウントを取りこぼさない手順の台帳に一緒に載せると続きます。
• 誤送信：相手がダウンロードする前に共有を止めれば、クラウド上のファイルは開けなくなります。Microsoft のヘルプは [アクセスの管理] から [共有の停止] を選ぶ手順を、Google は [アクセス権を削除] の手順を案内しています。送信後に止められることが、添付との大きな違いです。

次に取る行動

よくある質問