BIOS開発・レビュープロセス｜ThinkPadの品質・セキュリティ・信頼性を支える仕組み

大和研究所についてセキュリティポリシーサプライチェーン・
セキュリティコンプライアンス BIOS開発・レビュー
プロセスセキュリティ
ソリューション

BIOS (UEFI) とは何か

BIOS（正確にはUEFI：Unified Extensible Firmware Interface）は、PCの電源を入れた直後に最初に動作するソフトウェアです。

-- ハードウェアの初期化や自己診断を行う
-- 問題がなければ、Windowsを起動するためのプログラム（ブートローダー）を読み込む

このようにBIOS (UEFI) はOSが動き出す前の「基盤」となる存在です。

BIOS (UEFI) が特に狙われる理由

BIOS (UEFI) には、OS 上のアプリケーションとは根本的に異なる特徴があります。 BIOS (UEFI) は、OS 起動前に最も高い権限レベルで動作するため、一般のWindows 用のセキュリティソフトがまだ起動しておらず、リアルタイム検知や防御ができません。もし BIOS (UEFI) が侵害されると、攻撃者はPC を特権的に操作できるようになり、OS 上のセキュリティ対策を回避・無効化できてしまいます。

セキュア・ブートと「信頼の連鎖」

PC は、ハードウェアに組み込まれた信頼の起点 (Root of Trust) から始まり、BIOS、ブートローダー、そしてOS (Windows) へと、「信頼の連鎖 (Chain of Trust)」によって安全に起動する設計になっています。改ざんされていない検証されたソフトウェアだけが順番に起動する仕組みです。起動の途中で改ざんが検出されると、OSは起動しない仕組みがセキュア・ブート (Secure Boot) です。

増加する「起動前攻撃（ブートキット）」

最近では、OS が起動する前の環境を狙う「ブートキット攻撃」が増えています。目的は、セキュア・ブートを無効化または回避し、OS やセキュリティソフトに検知されない状態で不正な動作を継続することです。

だからこそ BIOS (UEFI) セキュリティが重要

OS上のセキュリティ対策がどれだけ強力でもその基盤である BIOS (UEFI) が侵害されていれば意味がありません。PCセキュリティを本当に強固なものにするためには、Windows だけでなく、BIOS (UEFI) を含めた「起動前からのセキュリティ」が不可欠です。
ThinkPadでは、独自のファームウェア・レジリエンスによって電源投入直後からハードウェアレベルでファームウェアおよびそのデータの検証を行い、信頼の連鎖を守ることで、OS 起動前の段階からPC全体を保護しています。

BIOS (UEFI) のセキュリティを守るプロセス

ハードウエア・セキュリティ製品企画

BIOS (UEFI) などのOS起動前のセキュリティは Below-the-OS (OS下層) セキュリティと呼ばれます。 ThinkPad をはじめとした、レノボのコマーシャルPC製品のBelow-the-OS（OS下層）セキュリティを横串で管理するバーチャルチームがハードウェア・セキュリティ製品企画です。 ThinkPad のセキュリティ機能・ソリューションがどのように提案・設計されるかをご紹介します。

ThinkPadを始めとするレノボのコマーシャル製品のセキュリティ機能・ソリューションはハードウェアセキュリティ製品企画という製品横断のBelow-the-OS (OS下層) のセキュリティソリューションの要求管理、進捗に責任をもつワールドワイドのバーチャルチームによって管理されています。

このバーチャルチームは、大和研究所(日本)、製品企画(米国)、セキュリティレビューボード(米国)のプロジェクトマネージャー、開発、製造、調達など各部門の代表者によって構成されています。

バーチャルチームは、次期製品群のセキュリティソリューションに関して、

お客様の声 (Voice of Customers) ：いくつかのお客様とは、定期的に大和研究所において直接お客様の声を伺う機会を設けています。また、マーケティングが開催するお客様の声を聞くイベントに開発からも参加しています。
業界動向、標準動向
開発からの提案など

をとりまとめ、優先順位を元に製品にどのように展開するかを決定します。

「自分たちが作りたいものを作る」のではなく、お客様の声に耳を傾けて、お客様の資産とデータを守り、課題解決に役立つソリューションの提供に努めています。

選ばれた機能・ソリューションは要求仕様書の作成とチームレビュー、設計仕様書作成とそのチームレビューにより、チームが合意した上で設計・実装されます。ThinkPad を使っていただいているお客様には、世界のリーディングカンパニー様や、ハイテク企業様、欧米を含めた各国の政府機関様も含まれています。