ファイルを安全に送るためのチェックリスト15項目

ファイルを安全に送るコツは、いくつかの習慣にまとめられます。必要なものだけを、正しい相手に、暗号化されたサービスで、パスワードと有効期限を付けて送り、用が済んだらアクセスを止めることです。暗号化は送信中のファイルを守りますが、実際に多いのは宛先の間違い、転送されたリンク、誰も覚えていない古い共有といった事故です。このチェックリストは、そうした身近なリスクもまとめて防ぎます。

機密文書を送るときの手順として、チームの共通ルールとして、あるいはいまの送り方の点検に使ってください。各項目は短くまとめ、詳しい説明はリンク先で紹介しています。

ファイルを送る前に確認する5項目

1. ファイルを分類する。 公開してよいものか、社内用か、機密か、個人情報を含むか。答えによって、以下の対策をどこまで行うかが決まります。
2. 必要最小限にする。 相手が使わないページ、列、写真は外します。送らなかったデータが漏れることはありません。
3. 宛先を確認する。 メールアドレスは1文字ずつ確かめましょう。オートコンプリートで候補が出たときは特に注意が必要です。宛先の間違いは、情報漏えいの典型的な原因です。
4. 隠れた情報を消す。 Officeファイルの変更履歴、コメント、作成者名などのプロパティを削除し、自宅がわかってしまう写真なら位置情報も外します。
5. 送る手段を選ぶ。 大きなファイルや機密ファイルは、メールボックスに残り続ける添付ファイルではなく、暗号化に対応した転送サービスで送ります。

ファイルを送るときの5項目

1. 通信と保存の暗号化を確認する。 信頼できるサービスなら、通信はTLSで暗号化され、保存されたファイルも暗号化されています。
2. 機密ファイルはエンドツーエンド暗号化にする。 ファイルがブラウザ上で暗号化され、サービス側でも中身を読めなくなります。仕組みは「エンドツーエンド暗号化とは」で解説しています。
3. パスワードを付け、別の手段で伝える。 リンクをメールで送ったなら、パスワードは電話やSMSで伝えます。米国立標準技術研究所（NIST）の2025年のガイドラインは長さを重視しており、パスワードだけで守る場合は15文字以上を求めています。
4. 有効期限を短くする。 機密ファイルなら数か月ではなく数日にします。状況別の目安は「パスワード付きリンクと有効期限」にまとめています。
5. ダウンロード回数を制限する。 受信者の人数に合わせておけば、転送されたリンクはすぐに使えなくなります。

ファイルを送ったあとの5項目

1. 受け取りを確認する。 ダウンロード通知や短いメッセージで、正しい相手に届いたことを確かめます。
2. 用が済んだらアクセスを止める。 転送を削除するか期限切れにし、古いクラウドの共有も解除します。
3. コピーをあちこちに残さない。 送信済みフォルダ、チャットの履歴、送るためにデスクトップに作ったコピーを整理します。
4. 記録が必要なデータは記録を残す。 社内規程や法令で求められている場合は、何を、誰に、いつ送ったかを記録します。
5. 共有を定期的に見直す。 四半期に一度は、開いたままのリンクや共有フォルダを点検しましょう。

PPAPの代替案は？パスワード付きZIPをメールで送る問題点

日本では、パスワード付きZIPファイルをメールに添付し、パスワードを別のメールで送る方法が長く使われてきました。いわゆる「PPAP」です。ただし、ZIPファイルとパスワードは同じメールの経路で同じ相手に届くため、メールを盗み見られる状況では両方とも見られてしまう可能性が高く、誤送信の対策にもなりません。宛先を間違えれば、2通目も同じ宛先に届くからです。

パスワードの強さも問題になりがちです。内閣官房 国家サイバー統括室のサイトに掲載されているコラム（2022年、NISCの「インターネットの安全・安心ハンドブック」に基づく）では、ZIPやOfficeファイルの暗号化に使う「暗号キー」は、英大文字・小文字・数字・記号の88種類をランダムに使って15桁以上が推奨されています。古い形式のZIP暗号化は強度が低いことにも注意が必要です。詳しくは「ファイルはZIPに圧縮して送るべき？」をご覧ください。

安全なファイル転送サービスの選び方

それぞれの機能の詳しい説明は「ファイルを安全に送る方法」に、士業など守秘義務のある職業向けの使い方は「法律事務所向けの安全なファイル転送」にまとめています。

「ファイルが共有されました」偽メールの見分け方

ファイル共有の通知は、フィッシングでよく使われる偽装です。米国のサイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）と英国の国家サイバーセキュリティセンター（NCSC）は、安全なメッセージやファイル共有サービスのログイン画面に見せかけたリンクを送る手口や、有名なファイル共有サービス上の文書にリンクを仕込む手口を報告しています。どちらも、最終的に偽のログインページへ誘導するものです。次のような場合は注意しましょう。

• 送られてくる予定のない相手からのファイルである、または文面が不自然に急かしてくる。
• ファイルを見るために、メールのパスワードやMicrosoft・Googleのアカウントでのログインを求められる。
• リンク先のドメインが、メールに書かれたサービス名と一致しない。
• 頼んでいない実行ファイル、スクリプト、パスワード付きの圧縮ファイルが届いた。

少しでも怪しいと感じたら、何も開かずに、電話など別の手段で送信者に確認してください。正規の転送リンクなら、何かにログインしなくてもダウンロードできます。

受け取る側のチェックリスト

機密ファイルを受け取る側にも、自分と送信者の両方を守るための習慣があります。

• リンクの期限が切れる前に早めにダウンロードし、受け取ったことを送信者に伝える。
• 共用のパソコンや公共の端末ではなく、安全な場所に保存する。
• リンクを転送しない。ほかに必要な人がいれば、送信者に新しいリンクを送ってもらう。
• 不要になったファイルは削除する。個人情報を含む場合は特に。
• 本来自分宛てではないファイルなど、想定外のものが届いたらすぐに送信者に知らせる。

チームや企業で追加したい対策

• 使うツールを1つに決める。 社員が個人のアカウントに頼らずに済むようにします。
• 短いルールを文書にする。 どのデータにパスワードが必要か、どのデータにエンドツーエンド暗号化が必要か、どのデータは社外に出してはいけないかを決めます。
• 個人情報を送るときの法令を確認する。 日本の個人情報保護法や、EU居住者のデータに関わるGDPRのポイントは「個人情報をファイルで送付するときの注意点」で解説しています。
• 2段階認証をオンにする。 ファイルを送れるすべてのアカウントで設定します。
• ダウンロードページにブランドを入れる。 受信者が本物のリンクを見分けやすくなります。詳しくは「ロゴ入りのファイル転送」をご覧ください。

ファイルの種類ごとに必要な保護は？

この表を自社の例に置き換えてチームで共有するだけでも、効果の高いセキュリティ対策になります。担当者が迷わなくなり、同じ種類のファイルには同じ保護がかかるようになるからです。

せっかくの対策を台無しにするよくある失敗

• リンクと同じメールにパスワードを書く。 1通転送されるだけで、両方が渡ってしまいます。
• ファイル1つで足りるのに、フォルダごと共有する。
• 個人情報を、期限のない「リンクを知っている全員」の共有で渡す。
• 大きな機密ファイルを複数のメールに分けて添付する。 メールサーバーや受信箱にコピーが増えるだけです。
• 受信者側のことを忘れる。 家族共用のパソコンや公共の端末にダウンロードされたファイルは、もう管理できません。機密ファイルの扱い方を受信者にも伝えましょう。

大きなファイルを送る方法全体とそれぞれの長所・短所は「大容量ファイルを送る方法」で紹介しています。

ファイルを安全に受け取るには

セキュリティは送る側だけの話ではありません。取引先から書類を受け取るときは、メールへの添付をお願いする代わりに、パスワードと期限を付けたファイルリクエストのリンクを渡し、届いたファイルは早めに自社の環境へダウンロードしましょう。手順は「ファイルを受け取る方法」で解説しています。

チェックリストのまとめ

• 送る前：分類する・最小限にする・宛先を確認する・隠れた情報を消す・暗号化に対応したサービスを選ぶ。
• 送るとき：機密ならエンドツーエンド暗号化・パスワードは別の手段で・短い有効期限・ダウンロード回数の制限。
• 送ったあと：受け取りを確認する・アクセスを止める・コピーを整理する・必要なら記録する・共有を定期的に見直す。