情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問17

セキュアブートの仕組み【情報セキュリティマネジメント解説】

正解の理由

• OS（Operating System：基本ソフト） — コンピュータでアプリを動かすための基本ソフト。
• ドライバ — ハードウェアを動かすためのソフト。
• デジタル署名 — 発行者の身元と改ざんの有無を確認する電子的な印（公開鍵暗号に基づく）。

解法ステップ

1. 問題文を「セキュアブートとは何を検査しているか」に絞る。キーワードは「署名」「起動前」「実行を防ぐ」など。
2. 各選択肢でそのキーワードが含まれているかを見る。
   • 署名検証について述べているものがあれば有力候補。
3. 他の選択肢（BIOSパスワード、HDDパスワード、起動後のアンチウイルス）は別の保護手段であり、セキュアブートの定義と異なると判断する。

選択肢別の誤答解説

• ア: BIOSにパスワードを設定する方法は、BIOS（Basic Input/Output System：基本入出力システム）やファームウェアの設定画面への不正なアクセスを防ぎます。しかしこれは「設定画面の保護」であり、OSやドライバの実行そのものを検証するわけではありません。よってセキュアブートの説明ではありません。
• イ: HDD（Hard Disk Drive：ハードディスクドライブ）にパスワードをかけると、ディスクの内容へのアクセスが制限されます。ディスク暗号化や起動時ロックの一種ですが、起動前にソフトの署名を検証してマルウェア実行を阻止する仕組みではありません。
• ウ: 正解。起動時にソフトのデジタル署名を検証して許可されていないものは実行しない、という説明がセキュアブートの核心を表しています。
• エ: マルウェア対策ソフトをスタートアップに登録し、OS起動後にスキャンするのは「起動後の防御」です。セキュアブートはOS起動前（ブートフェーズ）の防御であり、スタートアップスキャンとは目的とタイミングが異なります。

よくある誤解

1. 「BIOSパスワードやHDDパスワードがセキュアブートと同じ」は誤りです。これらは機器や設定へのアクセス制御であり、起動前のコード実行の許可を判定する仕組みではありません。
2. 「セキュアブートが有効ならすべてのマルウェアを防げる」は誤りです。セキュアブートは起動（ブートローダやカーネルなど）前の不正コード実行を防ぎますが、OS起動後に動くマルウェアやユーザー操作でインストールされるソフトは別途対策が必要です。

補足コラム

• UEFI（Unified Extensible Firmware Interface：次世代ファームウェア）とセキュアブート
  現代のセキュアブートは主にUEFIファームウェアで実装されます。UEFIは従来のBIOSを置き換える仕組みで、起動時に「公開鍵」を内蔵しておき、その公開鍵でデジタル署名を検証します。署名は通常OSベンダやハードベンダが行い、署名が有効ならそのソフトを信用して実行します。
• 署名の仕組み（簡単に）
  デジタル署名は公開鍵暗号に基づきます。ソフトの作成者が秘密鍵で署名し、機器はあらかじめ登録された公開鍵で署名を検証します。これにより「このソフトは正規の発行者が作ったものか」「改ざんされていないか」を確認できます。
• 職場での運用イメージ
  企業では、標準イメージ（社内で使うOSやドライバ）に対して公式に署名を行い、社内のPCはセキュアブートを有効にしておきます。新しいドライバやブートローダを導入する際は署名手続きを行い、署名リスト（許可リスト）を更新します。管理ツール（例: エンドポイント管理）で設定を一括管理することが多いです。

FAQ