パスワード付きzipを送るのをやめたいが、取引先がある

ファイルをメールに添付するとき、zipにパスワードを掛けて、同じメールアドレス宛に別メールでパスワードを送る。

この方法は、行政でも大手でも「やめる」方向に動いています。ただ、自社だけでやめられないのがこの話の難しいところです。取引先から送られてくるぶんには受け取らざるを得ませんし、「うちはこの方法で」と指定してくる相手もいます。

なので、正論と現実を分けて書きます。

なぜ効果が薄いのか

理由は3つです。

1. 同じ経路で送っているので、盗み見られたら両方見られるメールを盗聴されている前提なら、本文もパスワードのメールも同じ経路を通ります。鍵を掛けた箱と鍵を、同じ配達員に渡しているのと同じです。

2. 誤送信への対策になっていない宛先を間違えたとき、たいていパスワードのメールも同じ相手に送ってしまいます。ここが実務上いちばん大きい。現実に起きる事故の大半は、盗聴ではなく誤送信です。

3. ウイルス検査をすり抜けるこれが最も深刻です。暗号化されたzipは、受信側のセキュリティ機器が中身を検査できません。つまり、危険なファイルを届けるのに都合のいい形式になっています。実際、この形式は攻撃にも使われています。

守っているつもりで、検査を無効化している——これが、やめる方向に動いている一番の理由です。

代わりに何を使うか

用途によって選びます。難しいものは要りません。

A. 社内・グループ会社向け → 共有リンクSharePoint / OneDrive でファイルを置いて、リンクを送る。そもそも添付しないのがいちばん確実です。

• 相手を指定して共有する（リンクを知っている人全員、にしない）
• 期限を付ける
• 必要ならダウンロード不可（閲覧のみ）にできる
• あとから共有を止められる——これが添付との決定的な違いです

B. 社外向けで、相手のIT環境が分からない → 期限付きリンク＋パスワード共有リンクに、期限とパスワードを付けられる場合はそれで足ります。パスワードは電話かSMSなど、メールとは別の手段で伝える。別経路にすることに意味があります。

C. 継続的にやりとりする取引先 → 受け渡し場所を決める毎月ファイルをやりとりする相手なら、都度メールで送るより置き場所を決めてしまうほうが安全で楽です。相手にゲストとして入ってもらう、あるいは相手のシステムに置きに行く。

D. 相手がどうしてもzipを求める → 従うこれも選択肢です。取引を止めてまで通す話ではありません。そのかわり、

• 自社から送るときは別の方法にする（受け取りだけ従う）
• 送るファイルに機密性が高いものが含まれないようにする
• 相手先の担当が変わったタイミングで、もう一度提案してみる

進め方：一斉にやめない

自社の方針として決めるとき、いきなり全面禁止にすると現場が止まります。順番があります。

1. まず社内をやめる社内どうしの受け渡しでzipにパスワードを掛けているなら、そこは今日やめられます。共有リンクに切り替えるだけです。ここだけで、件数がかなり減ることが多い。

2. 送信側を切り替える社外に送るときの方法を、共有リンクに変えます。相手には一言添える。

ファイルは共有リンクでお送りしています。開けない場合はお知らせください、別の方法をご用意します。

「開けなかったら言ってください」を必ず添える。これが無いと、相手が困って止まります。

3. 受信側は当面そのまま相手から来るzipは受け取ります。ただし、

• 開く前に、送信元が本物か確認する（心当たりのない添付は開かない）
• 業務で必要なもの以外は開かない

4. 頻度の高い相手から、順に相談する毎月やりとりする相手には、置き場所を決める提案をしてみる。全社に一斉に案内を出すより、頻度の高い相手から個別に話すほうが通ります。

決めておくこと（1枚）

社内向けには、この程度で足ります。

ファイルの送り方

・社内どうし → 共有リンク（添付しない）
・社外へ送る → 共有リンク。期限を付ける。相手を指定する
　　開けないと言われたら情シスへ。別の方法を用意します
・社外から届いたzip → 受け取ってよい。ただし心当たりのない添付は開かない
・機密性の高いもの（個人情報、契約書など）→ 送る前に情シスに相談

（第1版・◯年◯月　見直し：半年後）

3行から5行。それ以上は読まれません。この形は 生成AIの社内ルールを、A4一枚で作る と同じ考え方です。

誤送信そのものを減らす

最後に、根っこの話です。この問題の実害の大半は誤送信なので、そちらも手を打つ価値があります。

• 送信前に宛先を確認する猶予（送信を数十秒遅らせる設定）
• 社外宛のメールで警告を出す
• そもそも添付しない（共有リンクなら、間違えても後から止められる）

3つめが本命です。間違えたあとに取り消せるかどうかが、添付とリンクの一番大きな違いです。

まとめ

• パスワード付きzipが効果薄なのは、同じ経路／誤送信に無力／ウイルス検査をすり抜けるの3点
• 代わりは共有リンク。社内は今日から切り替えられる
• 社外向けは期限とパスワード付きリンク。パスワードはメール以外で伝える
• 頻度の高い取引先は、受け渡し場所を決めてしまう
• 相手がzipを求めるなら従ってよい。取引を止めてまで通す話ではない
• 一斉禁止にしない。社内 → 送信側 → 頻度の高い相手 の順
• 「開けなかったら言ってください」を必ず添える
• 共有リンクの既定の設定を、切り替える前に確認する

社内向けの案内を作るところからでも構いません。今どのくらいの頻度で、誰と、何をやりとりしているかが分かると、順番が決めやすくなります。