PDFにパスワードを設定する前に知っておきたい3つのこと

「重要なPDFだからパスワードをかけて送ろう」 — ごく当たり前の習慣に見えますが、本当にセキュリティ向上につながっているかは別問題です。実はパスワード付きZIP送付（いわゆるPPAP）は、多くの企業でセキュリティ上の理由から廃止が進んでいます。

この記事では、PDFパスワードの仕組み・限界・現代的な代替を整理し、本当に安全なファイル共有の考え方を紹介します。

1. PDFパスワードには2種類ある

そもそもPDFのパスワード機能には、目的の異なる2種類があります。

機密情報を守る目的なら、必ずユーザーパスワードを設定してください。オーナーパスワードだけでは「お願い」レベルの制限にしかなりません。

2. 暗号化アルゴリズムとパスワード強度

PDFの暗号化は仕様バージョンによって強度が異なります。

Adobe Acrobatの最新版や主要なPDF編集ソフトはAES-256で暗号化するため、現代的に作成したPDFパスワードは強度面では十分です。

ただしいくらアルゴリズムが強くても、パスワード自体が弱いと意味がありません。「1234」「password」のような推測しやすいパスワードは、辞書攻撃で数秒〜数分で突破されます。最低でも12文字以上・英数記号混在を推奨します。

3. PPAP問題 — 同一経路で送るパスワードに意味はない

PPAPとは Passwordつきzipを送り、Passwordを別送し、Angoka（暗号化）した気になる Protocol の頭文字を取った呼び方で、「パスワード付きファイルを送った直後に、同じメールアドレスでパスワードを送る」ビジネス慣習を皮肉った俗称です。

これにはセキュリティ上の効果がほぼありません。理由は単純で、同じメール経路を傍受・侵害された時点でパスワードも一緒に漏れるためです。

内閣官房も2020年にPPAP廃止を表明し、多くの企業・自治体で段階的に廃止が進んでいます。形式的なセキュリティ対策として続けるのではなく、本質的に安全な方法に切り替えることが重要です。

現代的な代替手段

クラウドストレージの共有リンク

Google Drive、OneDrive、Dropboxなどの「リンク共有+権限管理」が最もシンプルで強力です。

• 特定のユーザーだけがアクセス可能に制限できる
• アクセスログが残る
• 後から権限を取り消せる
• ダウンロード禁止・有効期限の設定が可能

暗号化メール・専用のファイル転送サービス

S/MIMEやPGP暗号化メール、またはビジネス向けのセキュアファイル転送サービス（WorkTransfer等）を使う方法。受け取る相手のリテラシーが必要ですが、機密性は高くなります。

そもそもファイルを送らない

軽視されがちですが、ファイルを外部に出さない設計が最も安全です。PDF加工のためだけにオンラインサービスにアップロードしているなら、ブラウザ内完結型ツールへの置き換えで情報流出リスクそのものが消えます。

状況別の選び方