最終更新日: 2026年5月12日
PPAP（ピーピーエーピー）とは「パスワード付きZIPファイルを添付し、別メールでパスワードを送る」日本独自のメール慣習です。2010年代後半に普及し、2019年頃に皮肉を込めて命名されました。2020年に政府が廃止を宣言した後、大手企業が次々と追随し、現在は「やめるべき悪習」として整理されています。
この記事では、ファイル転送サービスを運営し、プライバシーマークも取得している立場から、PPAPの正確な定義・命名秘話・なぜ日本だけで広まったか・監査要件との関係を解説します。PPAPの問題点と具体的な脱却手順は「脱PPAPの進め方｜今日から始める具体的な5ステップ」で詳しくまとめていますので、移行手順を知りたい方はそちらをご覧ください。
この記事はギガワタス（giga-watasu.jp）の運営ブログです。プライバシーマーク取得企業の知見に基づき、事実関係を出典付きで解説しています。
PPAPとは何の略か｜正確な定義
PPAPは、以下の4つの頭文字を取った略語です。ピコ太郎の楽曲「PPAP（Pen-Pineapple-Apple-Pen）」をもじった造語で、もとは皮肉から始まった呼び名です。
| 文字 | 意味 | 具体的な動作 |
|---|---|---|
| P | Password付きZIPファイルを送ります | 暗号化Zipをメールに添付して送信 |
| P | Passwordを送ります | 同じ宛先に別メールでパスワード送信 |
| A | Angoka（暗号化） | ZipCrypto等で暗号化していることを示す |
| P | Protocol（プロトコル） | これら手順を「型」として運用していることを示す |
つまり「Zipに鍵をかけたメールを送り、別メールで鍵を送る一連の手順」をPPAPと呼びます。多くの日本企業で「セキュリティ対策」として2010年代に普及しました。
命名秘話｜「皮肉」から始まった呼び名
PPAPという呼び名を提唱したのは、日本情報経済社会推進協会（JIPDEC）に所属していた大泰司章（おおたいし あきら）氏です。現在は「PPAP総研」を設立し、代表社員として活動しています（出典: 週刊BCN「『PPAP』は何の略語？ JIPDECの大泰司氏が命名」）。
命名のきっかけは、2016年に世界的にヒットしたピコ太郎の楽曲「PPAP（Pen-Pineapple-Apple-Pen）」です。大泰司氏が「ピコ太郎のPPAPの響きが、なんとなくプロトコルっぽい」と感じたことから、皮肉を込めて命名したとされています。
「皮肉」が「公式略語」に昇格した理由
もともとは「日本企業がやっている滑稽な慣習」を揶揄するための言葉でした。それがメディア・行政・大手企業の公式発表にまで使われるようになったのは、皮肉の的確さと、それまで「あの面倒な暗号化Zipの手順」を一語で指す言葉がなかったためです。命名されたことで議論の俎上に載り、その後の廃止運動につながりました。
つまりPPAPという言葉は、最初から「これは合理的なセキュリティではない」というニュアンスを含んだ呼び名です。本来「型化されたセキュリティ手順」を意味するprotocolの語感を当てて、形だけのプロトコルになっていることを批判した造語と理解するのが正確です。
なぜ日本だけでPPAPが広まったか｜3つの文化的背景
PPAPは海外ではほとんど見られない、日本特有の慣習です。@ITの記事でも「害悪とまで言われる日本特有のメールセキュリティ」と表現されています。なぜ日本だけで広まったのか。運営者として法人ユーザーから話を聞く中で、3つの背景が浮かびます。
背景1: Pマーク・ISMS監査の「誤解」が普及の主因
2005年に個人情報保護法が全面施行され、プライバシーマーク（Pマーク）取得企業が急増しました。JIS Q 15001（Pマーク規格）の本文に「PPAPを実施せよ」とは一言も書かれていませんが、「メール添付のセキュリティ対策が必要」という審査機関のヒアリングに対して、「暗号化Zipにパスワードをかけている」と回答する運用が広がりました。
監査側も「具体的な対策を実施している」と回答されると指摘しにくく、結果として「Pマーク取得＝PPAP必須」という誤解が業界に浸透していきます。実際にはPマーク・ISMSとも、要求しているのは「適切な技術的安全管理措置」であり、PPAPを指定しているわけではありません。
背景2: FAX・ハンコ文化と同根の「手続きを踏めば安全」発想
日本企業には「正式な手続きを踏むこと自体に意味がある」という文化が根強くあります。FAXで紙を残す、ハンコで承認する、回覧で印鑑を集める。形式が整っていれば「対策をした」とみなす発想です。
PPAPもこの発想の延長線にあります。「メール添付に鍵をかけ、別便でパスワードを送る」という2ステップの儀式を踏むことで、送り手も受け手も「ちゃんとした対応をした」と安心できます。実際には暗号強度の問題で破られやすく、別メールも同じ経路を通るため意味がないのですが、形式が完備されているように見える点が日本企業に受け入れられました。
背景3: 「社外連絡＝メール一本主義」の慣習
欧米企業では、社外との大容量ファイルやりとりはクラウドストレージ（Box、Dropbox、Google Drive等）が早期に普及しました。一方日本企業は社外連絡の窓口を「メール」に統一する傾向が強く、ファイル送信もメール添付に固執しました。添付容量の上限を超える場合に「Zipで圧縮＋パスワードで保護」が解として選ばれた経緯があります。
結果として、海外ではクラウド共有が主流になる中、日本だけが「メール添付＋PPAP」というガラパゴス的進化を遂げました。
PPAPはなぜ問題視されるのか｜要点だけ
PPAPには大きく4つの問題があります。本記事では概要のみ示します。各問題の詳細・技術的根拠・対策手順は「脱PPAPの進め方｜今日から始める具体的な5ステップ」で詳しく解説していますのでそちらをご覧ください。
- ZipCryptoの暗号強度が低い：1990年代設計の方式で、専用ツールでパスワード解析可能（IIJ Engineers Blog）
- 同一経路でパスワード送信：メールが盗聴されればファイルもパスワードも漏れる
- ウイルスチェックをすり抜ける：パスワード付きZipはメールサーバーで中身をスキャンできず、Emotetなどのマルウェアが悪用している
- 受信者の業務負担が大きい：2通のメール確認、解凍作業。スマホでは解凍困難
米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）も、パスワード付きZipのブロックを推奨しています。「セキュリティのためにやっている儀式が、かえってセキュリティを下げている」というのが現在の業界共通認識です。
PPAPに関する3つの誤解
運営者として法人ユーザーから「PPAPをやめると監査で指摘されないか」「法的に必要なのではないか」という相談を受けます。よくある3つの誤解を整理します。
誤解1: PPAPは個人情報保護法で義務付けられている
個人情報保護法は「安全管理措置を講じる義務」を定めていますが、PPAPという具体的な手法は要求していません。法律が求めているのは結果（情報が漏れないこと）であり、手段は事業者の判断に委ねられています。AES-256暗号化のファイル転送サービスを使うほうが、法的にも実質的にも安全管理措置として強固です。
誤解2: プライバシーマークやISMSはPPAPを必須としている
Pマーク（JIS Q 15001）もISMS（ISO 27001）も、規格本文にPPAPの記載はありません。求めているのは「適切な技術的安全管理措置」であり、その中身は事業者が選びます。むしろ脱PPAPを進めている企業のほうが、最新のセキュリティ動向を把握していると監査で評価されやすいのが実態です。
誤解3: PPAPは世界共通のセキュリティ慣習
これも誤解です。PPAPは日本特有の慣習で、欧米企業ではほぼ見られません。海外取引先からPPAP形式のメールを受け取った欧米の担当者は「なぜわざわざ複雑な手順を踏むのか」と困惑することが多いと聞きます。グローバル基準ではクラウド共有や専用ファイル転送サービスが主流で、PPAPはガラパゴス慣習です。
PPAP廃止の歴史｜年表で振り返る
PPAPが命名され、批判が広がり、政府廃止に至るまでの流れを年表で整理します。
| 年月 | 出来事 | 意義 |
|---|---|---|
| 2016年10月 | ピコ太郎の楽曲「PPAP」が世界的にヒット | 後の命名のきっかけとなる |
| 2016〜2019年頃 | JIPDEC大泰司章氏がメール暗号化Zip慣習を「PPAP」と命名 | 呼び名がついたことで議論の俎上に乗る |
| 2018年 | 情報処理学会等で問題提起の発表が増加 | 専門家の間で「PPAPは無意味」という認識が広がる |
| 2020年11月17日 | 平井卓也デジタル改革担当相が記者会見でPPAP廃止方針を表明（日本IT団体連盟） | 「デジタル改革アイデアボックス」で280件超の賛成が決定打 |
| 2020年11月26日 | 内閣府・内閣官房でPPAPを廃止 | 政府の公式運用としてPPAPが廃止される |
| 2021年10月 | 日立製作所が同年12月13日以降のPPAP廃止を発表（日立公式） | グループ全体でパスワード付きZipの送受信を遮断 |
| 2022年1月26日 | IIJが社外からのパスワード付きZipメールをフィルタで削除し本文のみ受信（IIJ公式） | 「受信側でブロックする」初の本格事例 |
| 2022年以降 | NTTデータ、富士通、KDDI等の大手が次々と廃止 | 金融・製造業にも波及、サプライチェーン全体に拡大 |
| 2026年5月時点 | 大手企業の多くが廃止済み、中小企業に移行が進行中 | 取引先から「PPAP拒否」されるケースが増加 |
注目すべきは、政府廃止から大手企業の廃止、受信側ブロックまで、わずか1〜2年で一気に動いた点です。PPAPは「やめるべき」という認識が固まれば、廃止のハードルは想定より低いことが立証されました。
監査・法令とPPAPの正しい関係
運営者の視点で、よく聞かれる「監査・法令上の関係」を整理します。プライバシーマーク取得企業として実際に審査を受けた経験を踏まえています。
| 規格・法令 | PPAPの要求 | 実際に求められている内容 |
|---|---|---|
| 個人情報保護法 | なし | 「安全管理措置」の義務。手段は事業者判断 |
| JIS Q 15001（Pマーク） | なし | 「適切な技術的安全管理措置」を求める。手段は事業者判断 |
| ISO/IEC 27001（ISMS） | なし | 暗号化の管理策（A.8.24等）はあるが、PPAPの指定はない |
| 米国CISA | むしろブロック推奨 | 暗号化Zipはマルウェア検知を回避するためブロックを推奨 |
「Pマーク取得のためにPPAPが必要」は完全な誤解です。Pマーク審査で確認されるのは「ファイル送信時の安全管理ルールが明文化され、運用されているか」であり、その中身がPPAPでなくとも問題ありません。AES-256暗号化のファイル転送サービスを使い、ダウンロード回数制限・保存期間管理を運用していることのほうが、近年の審査では高く評価されます。
PPAPの代替手段は何があるか｜概要
PPAPの代替には、ファイル転送サービス・クラウドストレージ・メールセキュリティ製品という3類型があります。中小企業に多いのは導入が容易なファイル転送サービスです。
各選択肢の比較・選定基準・移行手順・取引先への告知テンプレートは、本記事と役割を分けた別記事で詳しく解説しています。
- 具体的な移行5ステップ → 「脱PPAPの進め方｜今日から始める具体的な5ステップ」
- 法人向けセキュアサービスの比較 → 「セキュアファイル転送サービス5選」
よくある質問
Q. PPAPの読み方は？
「ピーピーエーピー」と読みます。アルファベットをそのまま発音するのが一般的です。ピコ太郎の楽曲名から来ているため、楽曲のリズムで読まれることもあります。
Q. PPAPは誰が命名したのですか？
日本情報経済社会推進協会（JIPDEC）に所属していた大泰司章（おおたいし あきら）氏が命名したとされています。2016年に流行したピコ太郎の楽曲「PPAP（Pen-Pineapple-Apple-Pen）」の響きが「プロトコルっぽい」ことから皮肉を込めて名付けました。現在は「PPAP総研」を設立し代表社員を務めています。
Q. なぜPPAPは日本だけで広まったのですか？
主に3つの背景があります。①プライバシーマークやISMS監査の「具体的対策」として誤って解釈されたこと、②FAX・ハンコ文化と同根の「手続きを踏めば安全」という発想、③社外連絡をメールに一本化する慣習です。欧米はクラウド共有が早期に普及したため、PPAPはほぼ見られません。
Q. PPAPは個人情報保護法やPマークで義務付けられていますか？
いいえ、義務付けられていません。個人情報保護法・JIS Q 15001（Pマーク）・ISO/IEC 27001（ISMS）のいずれも、求めているのは「適切な安全管理措置」であり、PPAPという具体的手法は要求していません。むしろAES-256暗号化のファイル転送サービスを使うほうが、法令の趣旨に沿った対応です。
Q. PPAPをやめたら罰則がありますか？
罰則はありません。PPAPは法的義務ではなく業界慣習です。むしろ続けることでセキュリティが脆弱になり、情報漏洩事故が起きた場合に「適切な安全管理措置を怠った」と判断されるリスクのほうが大きいです。米国CISAは暗号化Zipのブロックを推奨しており、国際的にも脱PPAPが標準的な方向です。
Q. PPAPの「A」は何の略ですか？
「Angoka（暗号化）」の頭文字です。日本語の「暗号化」のローマ字読みから取っています。残りのP・P・Pは英語のPassword・Password・Protocolから取られており、和英混合の造語になっています。これも皮肉を込めた命名の特徴です。
Q. PPAPの代替には何を使えばいいですか？
主な選択肢は、ファイル転送サービス・クラウドストレージ・メールセキュリティ製品の3類型です。中小企業はファイル転送サービスが導入容易、Google Workspaceなど既存基盤がある企業はクラウドストレージ、大企業のメール基盤統合にはメールセキュリティ製品が向きます。具体的な選定基準・移行手順は「脱PPAPの進め方｜今日から始める具体的な5ステップ」をご覧ください。
まとめ
PPAPは「パスワード付きZipをメール添付し、別メールでパスワードを送る」日本特有の慣習で、もとは皮肉を込めて命名された言葉です。Pマーク・ISMS・個人情報保護法はいずれもPPAPを要求しておらず、政府も2020年に廃止を宣言しました。
- PPAPはJIPDEC大泰司章氏がピコ太郎の楽曲をもじって命名した皮肉の造語
- 日本だけで広まった背景はPマーク監査の誤解・形式重視文化・メール一本主義の3つ
- 個人情報保護法・Pマーク・ISMSはいずれもPPAPを要求していない
- 2020年政府廃止、2022年IIJ受信拒否を経て、現在は「やめるべき悪習」の整理が進む
- 代替には、ファイル転送サービス・クラウドストレージ・メールセキュリティ製品の3類型がある
具体的な脱PPAPの手順・取引先への告知テンプレート・サービス比較は「脱PPAPの進め方｜今日から始める具体的な5ステップ」で詳しく解説しています。法人向けに必要な機能の比較は「セキュアファイル転送サービス5選」が参考になります。
PPAPからの移行を検討中なら、ギガワタスは登録不要で333GBまで送れます。AES-256暗号化・ダウンロード回数制限・パスワード保護に対応し、プライバシーマークも取得済みです。
