【総務省2025年調査】PPAPとは｜やめる理由と代替手段の選び方（クラウド共有は73.3%・2025年）

取引先から「PPAPは今後やめます」と連絡が来て、慌てて調べ始めた方も多いのではないでしょうか。情シスとして社内のルールを見直すよう頼まれても、何から手を付ければよいか迷いますよね。

• パスワードを別のメールで送っているのに、何が問題なのか説明できない
• PPAPをやめるとして、代わりに何を使えばよいのか分からない
• こちらが方法を変えたときに、取引先がきちんと受け取れるか不安

先に結論をお伝えします。PPAPは、ファイルとパスワードが同じメールの経路を通るため、守りとしては弱い方法です。

暗号化された中身は、受け取る側のウイルス検査でも確認できません。

代わりの手段としては、クラウドでのファイル共有がすでに多くの企業で使われています。総務省の調査では、2025年時点でクラウドを利用している企業は83.5%でした（常用雇用者100人以上の企業が対象。出典: 総務省「令和7年通信利用動向調査の結果（概要）別紙1」）。

この記事では、PPAPの意味、2つの問題点、代替手段の普及状況と選び方、社内ルールの決め方を順に解説します。

この記事のポイント

• PPAPは同じ経路でパスワードを送るため盗み見に弱く、暗号化された中身は受け取る側で検査できない
• 総務省の調査では、2025年にクラウドを利用する企業の73.3%がファイル共有にクラウドを使っている（常用雇用者100人以上の企業が対象。出典: 総務省「令和7年通信利用動向調査の結果（概要）別紙2」）
• PPAPをやめた企業の割合を示す公的統計は見当たらないため、代替手段は取引先の環境を確認して選ぶ

PPAPはパスワード付きZIPとそのパスワードをメールで別々に送る運用の通称

PPAPとは、ファイルをパスワード付きのZIPにしてメールで送り、パスワードを別のメールで送る運用の通称です。

PPAPはZIPを添付したメールとパスワードを書いたメールを続けて送る手順を指す

PPAPは、添付ファイルを暗号化したうえで、パスワードを別のメールで後から送る送付方法のことです。送る側の手順は、次の3つに分けられます。

• 送りたいファイルを、パスワード付きのZIPファイルにまとめる
• ZIPファイルを添付したメールを相手に送る
• 続けて、ZIPを開くためのパスワードを書いたメールを同じ相手に送る

PPAPという呼び名は、この手順を表す語の頭文字をとった通称として広まったものです。正式な用語ではありません。

この運用が定着した背景には、多くの企業で「社外に送る添付ファイルは暗号化する」という社内ルールがあったことが挙げられます。メールの送信時に、ZIPの作成とパスワードの送信を自動で行う仕組みを導入している企業もあります。

つまりPPAPは、特別な技術ではなく、社内ルールに沿って続けられてきたメール送付の習慣だと押さえておきましょう。

PPAPをやめた企業の割合を示す公的な統計は見当たらない

PPAPの見直しがどこまで進んでいるかについて、PPAPの利用率や廃止率を示す公的な統計は、本記事の調査範囲では見つかりませんでした。

これは、メールを使った攻撃への備えがまったく数値化されていない、という意味ではありません。総務省の調査によると、2020年の調査時点で国の行政機関24府省庁のうち87.5%が、標的型攻撃メールの模擬訓練を実施済みでした。

一方で、PPAPの廃止が府省庁や企業でどの程度進んだかを示す官公庁・独立行政法人の統計は見当たりません。近いテーマでは計測されているのに、PPAPそのものは数値で追えない状態です。

この状況から考えると、社内資料で「何割の企業がPPAPを廃止した」と書くときは、出典が民間調査かどうかを先に確認するのが安全です。普及の状況は、次の章以降で代替手段の利用状況から説明します。

出典: 総務省「国の行政機関における情報セキュリティ対策に関する実態調査」

PPAPの問題点は、盗み見に弱いこととウイルス検査をすり抜けることの2つ

パスワードを別のメールで送っても、安全性はほとんど上がりません。主な問題点は、盗み見に弱いことと、受け取る側のウイルス検査をすり抜けてしまうことの2つです。

なお、PPAPは送る側が2通のメールを送り、受け取る側も解凍の手間がかかる点でも負担があります。

ZIPとパスワードは同じメールの経路を通るため、途中で読まれれば両方が漏れる

PPAPの1つ目の問題は、ZIPとパスワードが同じ経路を通るため、片方が読まれる状況ではもう片方も読まれてしまうことです。

2通のメールは、同じ送信元から同じ宛先へ、同じ経路を通って届きます。経路の途中でメールを盗み見られた場合、ZIPとパスワードの両方が第三者の手に渡ります。受け取る側のメールアカウントが乗っ取られた場合も同じです。

アカウントの乗っ取りが心配な場合は、まず社員のメールアドレスやパスワードが漏洩していないかを確認しておくとよいでしょう。

また、PPAPは誤送信の対策としても効果が限られます。1通目の宛先を間違えると、2通目のパスワードも同じ宛先に送ってしまうことが多いためです。別送する手間をかけても、盗み見と誤送信のどちらも十分には防げない点を押さえておきましょう。

暗号化されたZIPは、受信側のウイルス検査で中身を確認できない

PPAPの2つ目の問題は、暗号化されたZIPの中身を、受け取る側のセキュリティ製品が確認できないことです。

メールのセキュリティ製品は、添付ファイルの中身を調べて、マルウェアが含まれていれば受信を止めます。ところが、パスワード付きZIPは暗号化されているため、製品は通常の検査では中身を確認できません。

その結果、マルウェアが入っていても、検査をすり抜けて受信者に届いてしまう可能性が高くなります。攻撃者の側も、この仕組みを悪用してマルウェアをパスワード付きZIPに入れて送ることがあります。IPAも、パスワード付きZIPを添付したEmotetの攻撃メールについて、暗号化されているためにメールの配送経路でセキュリティ製品の検知をすり抜けやすいと注意を呼びかけています。

こうした手口が使われる例の一つが、標的型攻撃メールです。IPAの「情報セキュリティ10大脅威 2026」では、「機密情報を狙った標的型攻撃」が組織向けの脅威の5位に選ばれています。この順位は専門家による選考の結果で、発生件数の多さを表すものではありません。

この点から言えるのは、PPAPの問題は被害の件数で示せるものではないということです。受け取る側が中身を検査できないという、仕組みそのものの問題だと捉えてください。

出典: 情報処理推進機構「情報セキュリティ10大脅威 2026」組織編 解説書／情報処理推進機構「相談急増／パスワード付きZIPファイルを使った攻撃の例」

PPAPの代わりにはクラウドでのファイル共有が広く使われ、2025年はクラウド利用企業の73.3%が活用している

総務省の「通信利用動向調査」は、常用雇用者100人以上の企業を対象に、クラウドの利用状況と用途を毎年調べている調査です。PPAPをやめた割合そのものは測られていません。

そこでこの章では、PPAPの代わりの受け皿となるクラウドでのファイル共有がどこまで広がっているかを、このデータで確認します。

クラウドでファイル共有をする企業の割合は2021年の61.0%から2025年の73.3%まで毎年上がった

総務省の調査では、2025年時点で、クラウドを利用している企業の73.3%がファイルの保管や共有にクラウドを使っています。調査の対象は常用雇用者100人以上の企業で、同じ年のクラウド利用率は83.5%でした。

2021年からの推移は次のとおりです。

調査年	クラウドを利用している企業の割合	うち「ファイル保管・データ共有」に使う割合
2021年	70.4%	61.0%
2022年	72.2%	64.1%
2023年	77.7%	68.8%
2024年	80.6%	71.0%
2025年	83.5%	73.3%

表の出典: 総務省「令和3年通信利用動向調査の結果」／総務省「令和4年通信利用動向調査の結果」／総務省「令和5年通信利用動向調査の結果」／総務省「令和7年通信利用動向調査の結果（概要）別紙1」／同「別紙2」。常用雇用者100人以上の企業が対象。右の列はクラウドを利用している企業のうちの割合。2024・2025年は無回答を除く集計（2024年のファイル共有の割合は令和7年調査の前年欄の値）で、2021〜2023年は資料に集計基準の記載がありません。

前年からの伸びは、2022年が3.1ポイント、2023年が4.7ポイント、2024年が2.2ポイント、2025年が2.3ポイントでした。

この推移から読み取れるのは、伸び幅は2023年が最も大きく、その後は2ポイント台で推移しているという傾向です。ただし、「ファイル保管・データ共有」には社内でのファイル保管も含まれます。社外への送付をクラウドに切り替えた企業の割合と同じではない点に注意してください。

2021年の調査時点で、クラウド利用企業の61.0%がすでにファイル共有にクラウドを使っていた

2021年の調査で、クラウドを利用している企業の61.0%が、すでにファイル共有にクラウドを使っていました。

同じ2021年の調査で、クラウドを利用している企業は70.4%でした（常用雇用者100人以上の企業が対象）。2025年には、クラウド利用率が83.5%、ファイル共有に使う割合が73.3%まで上がっています。

この推移から読み取れるのは、PPAPの代わりの手段は、一から導入する特別な仕組みではないという点です。多くの企業がすでに使っている手段に、送り方を切り替える話だということです。

ただし、これらはクラウドの利用全般についての数値です。PPAPの見直しによってクラウドでの共有が広がったかどうかは、このデータからは分かりません。

それでも、社内でPPAPの廃止を提案するときに「代わりの手段は多くの企業がすでに使っている」と説明する材料になります。

クラウドを利用する企業の約9割が効果を実感しており、2021〜2023年は88〜89%で変わっていない

クラウドへの切り替えについては、利用している企業の約9割が効果を感じているという状態が続いています。

総務省の調査で、クラウドの利用に「効果があった」と答えた企業の割合を見てみます。2021年は88.2%、2022年は89.0%、2023年は88.4%でした。いずれも、クラウドを利用している企業（常用雇用者100人以上の企業が対象）のうちの割合です。

同じ3年間で、クラウド利用率は70.4%から77.7%に上がっています。

この結果から読み取れるのは、後からクラウドを導入した企業が加わっても、効果を感じる割合は下がっていないという点です。3年間の変化は1ポイント以内にとどまっています。

経営層から「移行しても効果が出ないのでは」と聞かれたときの答えに使えるデータです。ただし、この効果はクラウド全般についての自己評価です。PPAPの代わりとしての効果に限った評価ではない点は、あわせて伝えてください。

出典: 総務省「令和3年通信利用動向調査の結果」／総務省「令和4年通信利用動向調査の結果」／総務省「令和5年通信利用動向調査の結果」／総務省「令和7年通信利用動向調査の結果（概要）別紙1」／同「別紙2」

代替手段は受け取る側の環境・アクセス管理・運用の手間の3つの軸で選ぶ

PPAPの代わりになる手段には、大きく分けて「クラウドストレージの共有リンク」「ファイル転送サービス」「グループウェアの外部共有機能」があります。この記事では、特定の製品名やおすすめは挙げません。

選ぶときに大切なのは、自社にとって使いやすいかどうかだけではありません。受け取る取引先がその方法で受け取れるかを先に確認することです。

比較の軸は受け取る側の環境、アクセス管理、社内運用の手間の3つに絞る

代替手段を比べるときは、受け取る側の環境、アクセス管理、送る側の運用の手間の3つに絞ると判断しやすくなります。機能の多さで比べ始めると、取引先が受け取れるかという大事な点を見落としがちだからです。

3つの手段の一般的な特徴を、3つの軸で表に整理しました。

代替手段	受け取る側の準備	アクセス管理	送る側の運用の手間
クラウドストレージの共有リンク	ブラウザで開けるが、URLフィルタで止まる場合がある	期限・閲覧範囲・ダウンロード可否を設定できることが多い	多くは既存の契約で使えるが、共有設定のルールが必要
ファイル転送サービス	ブラウザでダウンロードする形が一般的	期限や履歴を確認できるものが多い	社外送付用に別途の契約と利用ルールが必要
グループウェアの外部共有機能	相手側でアカウントや招待の承認が必要な場合がある	招待した相手だけに公開できるものが多い	継続的な取引先向き。招待と権限の管理が必要

対応する機能は製品によって異なります。

クラウドでのファイル共有は、2025年にクラウドを利用する企業の73.3%が使う、一般的な運用になっています（常用雇用者100人以上の企業が対象）。一方で、受け取る側の環境には企業の規模による差があります。3つの軸のうち、最初に確認したいのは受け取る側の環境です。

資本金1,000万円未満の企業のクラウド利用率は2025年で75.4%と、50億円以上の99.8%を24.4ポイント下回る

受け取る側の環境を考えるうえで、取引先の規模によってクラウドの利用状況に差があることを知っておきましょう。

総務省の調査で、2025年のクラウド利用率を資本金の規模別に見てみます。資本金1,000万円未満の企業は75.4%、50億円以上の企業は99.8%で、差は24.4ポイントです。

2024年は、それぞれ61.5%と99.8%でした。調査の対象は、常用雇用者100人以上の企業です。

図の出典: 総務省「令和7年通信利用動向調査の結果（概要）別紙2」のデータをもとに作成（無回答を除く集計）

業種別に見ると、2025年は金融・保険業が96.2%、運輸業・郵便業が78.3%でした。差は17.9ポイントで、規模による差の方が大きくなっています。

この差から読み取れるのは、自社が大企業でクラウドに慣れていても、取引先の小規模な企業ではクラウドでの受け取りに慣れていない場面が残るという点です。送り方を切り替える前に、主な取引先の受信環境を確かめておくことが大切です。

出典: 総務省「令和7年通信利用動向調査の結果（概要）別紙2」

PPAPをやめるときは、送る・受け取れない場合・受け取るの3つの場面で社内ルールを決める

PPAPをやめるときは、ツールを入れ替えるだけでは足りません。例外の扱いと、受け取ったときの扱いまで決めておかないと、現場でPPAPが復活しやすくなります。 ここでは3つの場面に分けて、決めておきたいルールを整理します。

送る側のルールでは、共有リンクの有効期限・閲覧できる人・宛先の確認方法まで決める

送る側のルールでは、共有リンクを作るときの設定と、送る前の確認方法を具体的に決めておきましょう。共有リンクも、誤った相手に送ればPPAPと同じように情報が漏れてしまうためです。

決めておきたい項目を、次に挙げます。

• 共有リンクの有効期限（何日で切れるようにするか）
• 閲覧できる人の範囲（リンクを知っている全員か、指定した相手だけか）
• ダウンロードを許可するかどうか
• 送信前の宛先の確認方法（ダブルチェックの要否など）
• 共有を終了する、またはファイルを削除するタイミング

こうした項目は、社外へのファイル送付に関する情報漏えい対策の一部として位置づけると、社内で説明しやすくなります。

クラウドでのファイル共有は、2025年にクラウドを利用する企業の73.3%が使う運用です（常用雇用者100人以上の企業が対象）。このことから考えると、新しい仕組みとして一から作るより、すでにあるクラウドの設定ルールに社外共有の項目を追記する形で進める方がスムーズに移行できます。

共有リンクで受け取れない取引先のために、例外の送付手段と承認の手順を用意しておく

共有リンクに切り替えても、すべての取引先がその方法で受け取れるとは限りません。そのため、受け取れない場合の例外の手順を、先に決めておくことが必要です。

前の章で見たとおり、2025年のクラウド利用率は資本金1,000万円未満の企業で75.4%、50億円以上の企業で99.8%と差があります。また、取引先の中には、社内のURLフィルタやセキュリティ方針によって共有リンクを開けない会社もあります。

このため、最初の手順は、主な取引先への受信環境の事前確認です。受け取れない場合に備えて、取引先が指定する共有サービスを使うなど、例外の手段も決めておくとよいでしょう。パスワードを電話やチャットなど別の経路で伝える方法も選択肢の一つですが、受け取る側でウイルス検査ができない問題は残ります。

例外を使うときは情シスの承認を通し、誰がいつ使ったかを記録しておきましょう。例外を記録しておけば、PPAPが元に戻るのを防ぎやすくなります。

取引先から届いたパスワード付きZIPは、開く前の確認手順を社内ルールで決めておく

自社がPPAPをやめても、取引先からはパスワード付きZIPが届き続けます。受け取ったときの確認手順も、送るときと同じように社内ルールで決めておきましょう。

前述のとおり、暗号化されたZIPの中身は、受け取る側のメール検査では確認できません。IPAの「情報セキュリティ10大脅威 2026」でも、「機密情報を狙った標的型攻撃」は組織向けの5位に選ばれています。

受け取ったときの手順の例は、次のとおりです。

• 送信元が、普段からやり取りしている相手かどうかを確認する
• 心当たりがない場合や、開封を急がせる内容の場合は、開かずに情シスへ相談する
• 可能であれば、共有リンクで送り直してもらうよう依頼する

受け取る側の手順を決めておけば、検査をすり抜けたファイルを社員がそのまま開いてしまう事態を減らせます。

出典: 総務省「令和7年通信利用動向調査の結果（概要）別紙2」／情報処理推進機構「情報セキュリティ10大脅威 2026」組織編 解説書

まとめ: PPAPの廃止は、代替手段の選定と社内ルールをセットで進める

PPAPは、パスワード付きZIPとそのパスワードを、メールで別々に送る運用の通称です。ZIPとパスワードが同じ経路を通るため盗み見に弱く、暗号化された中身は受け取る側のウイルス検査でも確認できません。

代わりの手段としては、クラウドでのファイル共有が広く使われています。総務省の調査では、2025年にクラウドを利用する企業の73.3%がファイル共有にクラウドを使っています（常用雇用者100人以上の企業が対象）。

一方で、資本金1,000万円未満の企業のクラウド利用率は2025年で75.4%で、取引先の環境には差があります。PPAPの廃止は、代替手段の選定と社内ルールの整備をセットで進めることが大切です。

最後に、情シスとして確認しておきたい点をまとめます。

出典: 総務省「令和7年通信利用動向調査の結果（概要）別紙2」

新しい送付ルールを社内に浸透させるなら「情シスカレッジ」

PPAPの廃止のように社内のルールを変えるときは、ルールを決めるだけでは定着しません。社員一人ひとりに新しい送り方を知ってもらい、理解できているかを確かめる必要がありますよね。

「情シスカレッジ」は、新人・ひとり情シスのためのマイクロラーニングLMSです。数分の動画と小テストで、業務の合間に少しずつ学べます。新しい送付ルールを社員に周知し、理解度を確かめる仕組みとしても使えます。

導入は5名から可能で、請求書払いにも対応しています。初期設定はおよそ10分で完了します。

情シスカレッジの詳細を見る

※出典

• 総務省「令和3年通信利用動向調査の結果」
• 総務省「令和4年通信利用動向調査の結果」
• 総務省「令和5年通信利用動向調査の結果」
• 総務省「令和7年通信利用動向調査の結果（概要）別紙1」
• 総務省「令和7年通信利用動向調査の結果（概要）別紙2」
• 総務省「国の行政機関における情報セキュリティ対策に関する実態調査」
• 情報処理推進機構「情報セキュリティ10大脅威 2026」組織編 解説書
• 情報処理推進機構「相談急増／パスワード付きZIPファイルを使った攻撃の例」