脱PPAP｜大容量ファイルを安全に送る・受け取る方法

結論から言うと、パスワード付きZIPをメールで送り、別便でパスワードを送る方式（PPAP）は、安全性の面でも相手の手間の面でも見合いません。替えるべきは「ファイルを添付する」という前提そのものです。添付をやめて、ダウンロード用のリンクで渡し、誰がいつ見た・ダウンロードした・共有したかの記録が残るやり方にそろえる——これが現実的な答えです。

そして、切り替えるときの順番があります。①社内で送り方・受け取り方を決める → ②社内に周知する → ③取引先へ案内する → ④運用に乗せる → ⑤例外に備える。この順番を崩して「まずツールを選ぶ」から入ると、たいてい定着しません。理由は後述します。

「取引先から『パスワード付きZIPは受け取れません』と言われた」「図面や検査動画が大きすぎてメールで送れない」「誤送信が怖いが、代わりの渡し方が決まらない」——取引先と日常的にファイルを送受信している総務・管理部門、情シス兼務の担当者、営業事務・設計・品質保証の方に向けて、以下では何が問題なのか、代わりに何があるのか、どういう順番でやめるのか、そして意外に抜けがちな受け取る側（相手から送ってもらう側）の設計までを整理します。

パスワード付きZIPの受け渡しは、何が問題なのか

問題は「面倒だから」ではありません。実務上の弱点が6つあります。

1. 受け取る側のウイルス検査を、すり抜けやすい

これが最も重い問題です。IPA（独立行政法人 情報処理推進機構）は2020年9月2日の注意喚起で、パスワード付きZIPを添付した攻撃メールについて「添付ファイルが暗号化されていることから、メール配送経路上でのセキュリティ製品の検知・検疫をすり抜け、受信者の手元に攻撃メールが届いてしまう確率が高い」と説明しています（出典：IPA「相談急増／パスワード付きZIPファイルを使った攻撃の例」）。

言い換えると、中身に鍵がかかっていると、受け取る側の検査もその中身を見られません。危険なファイルほど検査をすり抜けて届いてしまう。相手を守るはずの鍵が、相手の守りを外している状態です。

2. 同じ経路でパスワードを送るなら、鍵を分けた意味が薄い

ZIPファイルとパスワードを同じメール経路で送れば、そのメールを見られた時点で両方見られます。分けたつもりが、分かれていない。ここは説明すれば誰でも納得する点ですが、慣習として続いてしまいがちです。

3. 受け取る側の手間が増える

保存 → 解凍 → 別便のメールを探す → パスワードを貼る、の往復。スマートフォンや一部の環境では開けない、ファイル名が文字化けするという声も少なくありません。相手の作業を増やす「対策」になっています。

4. 誤送信しても、取り消せない

送信したメールを相手のメールボックスから引き上げることはできません。宛先を間違えれば、そのまま届きます。やり直せない渡し方であることが、いちばんの弱点です。

5. 大容量が送れない

多くのメール環境には添付できる大きさの上限があります。図面やCADデータ、検査動画、現場写真、スキャンした書類はすぐ超えます。結果として、分割送信、複数便、その場しのぎの無料サービス利用が起き、やり方が担当者ごとにバラけるという別の問題を生みます。

6. 渡した後の記録が残らない

送った記録は自分の送信箱に残りますが、相手がいつ開いたか、誰がダウンロードしたか、さらに転送されたかは分かりません。事故が起きたときに「何が、どこまで出たのか」を説明できず、取引先からの情報セキュリティの確認にも答えられません。

「やめる流れ」は、2020年から始まっている

社内で「なぜ今やめるのか」を説明するとき、外部の動きが助けになります。ポイントは3つです。

• 2020年9月、IPA が注意喚起。前述のとおり、パスワード付きZIPの添付は配送経路上の検知・検疫をすり抜けやすいと説明されています。
• 2020年11月、内閣府・内閣官房で廃止。当時のデジタル改革担当大臣が記者会見で、ZIPファイルと同じ経路でパスワードを送る方式はセキュリティ対策の面でも受け取る側の利便性の面でも適切でないとして廃止する旨を説明したと報じられています。以降、他の官公庁にも同様の動きが広がったと解説されています。
• 2023年10月、IPA がファイル受け渡し製品の脆弱性への対策を呼びかけ（出典：IPA「オンラインストレージの脆弱性対策について」）。ここで前提になっているのは、メールに代えてストレージ経由でデータを交換する組織が増えているという状況です。つまり流れは「添付をやめる」方向に進んでいます。

実務上、いちばん強い動機は別のところから来ます。取引先の側から「パスワード付きZIPは受け取れません」「今後はこの方法で送ってください」と案内されるケースが増えていることです。相手が先に変えると、こちらは選ぶ余地なく変えることになります。だからこそ、自社の都合で順序立てて変えられる今のうちに動くほうが、負担が小さくなります。

代わりの渡し方は、大きく4つの型に整理できる

代替案の議論が散らかるのは、選択肢を並べる前に「何を基準に選ぶか」が決まっていないからです。まず選択肢を型で整理します（特定のサービス名ではなく、型で見るのが判断を早くします）。

A. 無料の大容量転送サービスを、都度使う すぐ使えて大容量が通り、相手も登録なしで受け取れることが多い型です。一方で、誰が何を、どこへ送ったかを会社として把握できません。担当者ごとにやり方がバラけ、期限や見せる範囲の管理も個人任せになります。受け取り側の統制もできません。「とりあえず今回だけ」が積み上がるのが、この型の実態です。

B. 自社に受け渡しの仕組みを置く 自社管理という安心感がありますが、構築・運用・脆弱性への対応が続きます。前述のとおり2023年にはファイル受け渡し製品の脆弱性を悪用した攻撃について対策の呼びかけが出ています。担当者が変わっても維持できるかが現実的な論点です。

C. メール側で対策する（暗号化、添付の無害化など） メールの運用を大きく変えずに済むのが利点です。ただし相手側の対応環境に依存する場合があり、大容量そのものは解決しません。また、渡した後に誰が見た・ダウンロードしたかという記録は、別の問題として残ります。

D. 会社として渡し方を1本に決める（ダウンロード用のリンクで渡し、記録を残す） 添付をやめ、保管先にファイルを置き、ダウンロード用のリンクを相手に渡す型です。大容量に強く、見せる範囲を権限で決められ、誰がいつ見た・ダウンロードした・共有したかの記録が残ります。弱点は技術ではなく運用側にあります。社内ルールと取引先への案内をやりきるかどうかで、成否が決まります。

選ぶときの観点は、主に次の6つです。

1. 中身の検査が働くか（相手の守りを外していないか）
2. 大容量が通るか（図面・動画・写真をそのまま渡せるか）
3. 渡した後の記録が残るか（誰がいつ見た・ダウンロードしたか）
4. 相手の手間（取引先に新しい作業を増やさないか）
5. 会社として統制できるか（担当者ごとにバラけないか）
6. 運用の負担（担当が変わっても続くか）

この6観点で4つの型を突き合わせると、自社が取るべき型はほぼ一つに絞れます。型ごとの評価を一覧にした比較表は、この記事の末尾でご案内している資料に収録しています。ここでは「観点を決めてから選ぶ」という順序だけ押さえてください。

やめる段取り──社内ルール → 周知 → 取引先案内 → 運用

ここが本題です。ツール選定から入らない、これが最大のコツです。理由は単純で、渡し方を替える作業のうち、実際に時間がかかるのは「社内の全員が同じやり方をできる状態にすること」と「取引先に納得してもらうこと」だからです。

①現状把握：誰が、何を、どうやって送受信しているか

まず棚卸しです。部署別・相手先別に、どんな種類のファイルを、どのくらいの大きさで、どの手段で送っているか／受け取っているかを書き出します。ここで必ず見つかるのが、大容量が発生している業務（図面の受け渡し、検査動画の提出、現場写真の共有など）と、担当者が個人判断で無料サービスを使っている経路です。この2つが、後で例外扱いになって運用を崩す元になります。

②方針決定：原則を1本に決め、例外の条件も同時に決める

「原則こう渡す／こう受け取る」を文章にします。このとき例外の条件を同時に決めるのが要点です。例外を決めずに始めると、現場は「例外かどうか」を毎回自分で判断し、結局元のやり方に戻ります。

決めることは、主にこの範囲です。

• 対象範囲（社外へ渡すファイル／社外から受け取るファイル）
• 原則の渡し方と、禁止する渡し方
• パスワードの扱い（かけるのか、かけないのか、どう伝えるのか）
• 見せる範囲と期間の考え方（誰に、どの範囲まで、いつまで）
• 記録の残し方と、誰がどの頻度で確認するか
• 事故に気づいたときの連絡先

③社内周知：「読めば分かる」ではなく「同じ手順を再現できる」まで

規程を配っただけでは変わりません。目標は対象部署の全員が同じ手順を再現できる状態です。実務では、画面つきの1枚手順、短い説明会、切替日前後のリマインドの3点セットが効きます。

④取引先案内：相手に手間をかけない書き方で、期間を決めて出す

ここでつまずく会社が多いところです。案内文には、今後どう渡すのか／相手の操作は何が増えるのか（できれば増えないこと）／いつから切り替えるのか／受け取れない場合はどうするかを入れます。一方的な締切や、相手に負担を感じさせる書き方は、そのまま関係の摩擦になります。断られたときの代替を先に用意しておくことが、案内を出す前提条件です。

⑤運用と例外対応

始めてからの仕事は、例外先の一覧を持つこと、問い合わせに答える窓口を決めること、そして記録を月次で誰かが見ることです。見る担当と頻度が決まっていない記録は、事故のときに使えません。

段取りそのものはこの5つですが、各段の「ここまでできたら次へ進んでよい」という完了条件、社内ルールのひな形、取引先への案内文の文例（送る場合／送ってもらう場合、断られたときの代替提示まで）は、記事に収めきれる量ではありません。そのまま流用できる形で資料にまとめています。

忘れられがちな「受け取る側」の設計

代替案の比較記事は、ほとんどが「送る」話で終わります。ところが実務で本当に困るのは、取引先が勝手にパスワード付きZIPで送ってくるほうです。自社が送り方を変えても、受け取り方が野放しなら、リスクは半分しか減りません。

受け取る側で決めておくことは3つです。

• 受け取りの導線を1本に決める。「この案件のファイルはここへ」と一箇所にそろえる。担当者ごとに違う方法で受け取っている状態は、会社として何を受け取ったか把握できていない状態と同じです。
• 窓口と置き場、そして名前の付け方を決める。受け取った後に「どこに置いたか分からない」となれば、また同じファイルを送ってもらうことになります。
• 取引先がパスワード付きZIPで送ってきたときの扱いを決めておく。開けてよいのか、開ける前に何を確認するのか、送り直しをお願いするのか。判断を現場任せにしないことがポイントです。

受け取り導線の設計と、パスワード付きZIPが届いたときの判断の型は、資料に手順として収録しています。

誤送信への備え──渡した後に、何が言えるか

誤送信を「ゼロにする」と約束できる仕組みはありません。宛先を間違えるのは人間だからです。現実的な備えは2つの考え方に整理できます。

ひとつは、取り返しのつく渡し方に寄せること。メールの添付は届いた瞬間に相手の手元に複製が残りますが、保管先に置いてリンクで渡す形なら、渡す対象は「置き場所への案内」です。見せる範囲を権限で絞る、案件ごとに範囲を分ける、といった設計が効きます。

もうひとつは、事故が起きたときに範囲を説明できる状態を作っておくこと。「誰に渡したのか、いつ開かれたのか、ダウンロードされたのか」が記録として残っていれば、影響範囲を絞って報告できます。逆に記録がなければ、最悪を前提にした対応をせざるを得ません。誤送信対応の負担を決めるのは、実は渡し方より記録の有無です。

大容量ファイルは、どう渡すか

図面、CADデータ、検査動画、現場写真、スキャンした書類。これらは「PPAPの是非」とは別に、そもそもメールに乗らないという問題を抱えています。

添付をやめてリンクで渡す形にすると、この問題は同時に片付きます。メールで運ぶのはリンクだけなので、ファイルの大きさに縛られません。分割送信も、複数便も、その場しのぎの無料サービス利用も要らなくなります。

そして重要なのは、日々の作業場所を変える必要がないことです。今使っている Google Drive・OneDrive・SharePoint・Dropbox・Box や社内サーバーは、そのまま作業場として使い続けられます。変えるのは「社外に渡すとき・社外から受け取るときの1本の導線」だけです。ここを取り違えて「全社の作業環境を移行する話」にしてしまうと、プロジェクトが重くなって止まります。

necfru drive でどう実現するか

ここまでの内容を、道具の側から見るとどうなるか。necfru drive は、大容量のファイルを保管しながら、ダウンロード用のリンクで社外へ渡す仕組みもそのまま使える法人向けの基盤です（別のプランや追加の契約を用意する必要はありません）。

• 添付をやめて、ダウンロード用のリンクで渡せます。 メールに乗らない大きさの図面・動画・写真も、リンクを送るだけで渡せます。
• 渡した後が見えます。 ログイン、ダウンロード、共有などの操作履歴が残り、CSVで一覧として書き出せます。「誰がいつ見た・ダウンロードした・共有した」を後から示せるので、事故時の説明や、取引先からの情報セキュリティの確認にも答えやすくなります。
• 見せる範囲を、会社が決められます。 ユーザー・グループ・権限の管理機能があり、部署や案件の単位で見せる範囲を分けられます。誤削除や意図しない共有の防止も、necfru drive が解決する困りごととして位置づけられています。
• 受け取ったファイルも同じ場所に集められます。 取引先から受け取ったファイルの置き場をそろえ、権限と記録を同じ仕組みで管理できます。（受け取りの導線をどう設計するかは運用の設計と合わせてご相談ください。）
• 通信は暗号化を標準で適用しています。データは国内のデータセンターに置かれ、会社ごとに分けられた専用の領域で扱われます。共有プラットフォームに相乗りする形ではありません。
• ユーザー数は無制限です。渡し方を全社で1本にそろえるとき、人数で足踏みしません。導入・運用の支援（メール・Web会議）も標準で付いています。
• 既存のクラウドや社内サーバーと併用できます。 日々の作業場所は変えずに、社外とのやりとりだけを整えられます。

パスワード付きZIPをやめて、大容量ファイルをダウンロード用のリンクで安全に渡し、渡した記録まで残せる法人向けの保管・共有基盤が『necfru drive』です。

なお、社内だけの受け渡しや、メールに収まる小さなファイルのやりとりであれば、いま使っているクラウドの共有機能で足りる場合もあります。necfru drive が効くのは、社外とのやりとりが多く、大容量が絡み、渡した記録を会社として残しておきたい場面です。まずは無償のオンラインデモや1か月のトライアル（容量・期間に制限あり）で、自社の運用に合うかを確かめていただくのが確実です。費用や個別の要件は別途のご相談になりますので、製品ページからお問い合わせください。

活用イメージ（渡し方を替えるとうまくいく場面）

• 製造・部品加工の現場：図面やCADデータ、検査記録の動画を取引先とやりとりする。メールに乗らない大きさのものをリンクで渡し、いつ誰がダウンロードしたかを記録として残す、という運用にできます。
• 建設・設備の現場：現場写真や施工記録が大量に発生し、元請け・下請けの双方向でやりとりが起きる。受け取りの置き場と見せる範囲を案件単位で分けておくと、関係者が増えても崩れません。
• 商社・物流の現場：多数の取引先と日常的に帳票やスキャン書類を交換する。担当者ごとにバラけていた渡し方を1本にそろえ、会社として何を送ったかを把握できる状態にできます。
• 医療・研究の現場：検査画像や記録データなど、見せる相手を厳密に分けたいファイルを扱う。権限で範囲を絞り、閲覧・ダウンロードの記録を残す形が向きます。
• 行政や大規模イベントの現場：多数の外部関係者へ素材を渡しながら、配布の統制を保つ。権限を分けて渡し、利用の記録を管理する運用が取られています。

いずれも共通しているのは、作業のやり方を全部変えているのではなく、社外とのやりとりの導線だけを1本に整えているという点です。

---

資料ダウンロード

この記事では「何が問題か」「どの型を選ぶか」「どういう順番でやめるか」という判断軸と段取りの考え方までをお伝えしました。実際に社内で動かすときに使えるツールは、資料にまとめています。

---

necfru driveについて

Google Drive、OneDrive、Dropbox、Box、社内サーバーを日常の作業場所として使い続けながら、使わないが捨てられないファイルだけを別の保管領域へ退避する方法があります。

necfru driveは、容量を圧迫する大容量ファイルや完了案件データを、検索・プレビュー・権限管理付きで保管できる法人向けアーカイブ基盤です。必要なときは元のクラウドやサーバーへ戻して利用できます。

また、AIによるファイル概要の書き起こし、自動タグ付け、動画の自動文字起こし、PDFなどの各ページ概要化にも対応しているため、ファイル名やフォルダ名だけに頼らず、保管したファイルの中身を把握しやすくなります。

一方で、Office文書の共同編集そのものを改善したい場合や、個人向けの写真・動画保管だけが目的の場合は、Google Drive、OneDrive、SharePoint、Dropbox、Boxなどの既存クラウドをそのまま活用する方が適している場合があります。