- ホーム
- レノボの製品セキュリティーに関する取組みについて
レノボの製品セキュリティーに関する取組みについて
1. レノボの製品セキュリティーについて
1-1 製品セキュリティーに関するアクション
速いペースの製品開発と常に存在するハッカーの脅威の板挟みで、メーカーは「自社製品が脆弱性と100パーセント無縁である」とは保証できない状況にあります。しかしながらレノボは、私たちが提供する製品やソリューションはお客様が求める機能性だけでなく、お客様のデータの機密性、完全性、可用性を守るのに必要なテクノロジーもまた提供しなければならないことを理解しています。この課題を克服するために、レノボは常に進化するセキュリティーの脅威からお客様を守るための努力を絶えることなく続けています。
これにしたがって、レノボは以下の領域における知見を持つセキュリティーのプロフェッショナルで構成された専任チームを組織しています。
セキュリティー設計思想：製品デザイン＆ストラテジーについて技術的な側面からコンプライアンス（規格・法令への適合・準拠）を促進。
BIOS／ファームウェア／アプリケーションのセキュリティー：コードのレビューおよび認証。
倫理的ハッキング：ホワイトハット（善玉ハッカー）による脆弱性テストの実施。
サプライチェーン：コンポーネント、アセンブリー、ファームウェア、ソフトウェア、ユーザー設定を提供するサプライヤー各社のセキュリティーを徹底的にレビュー。
カスタマーサポート：お客様の懸念や疑問を解消。
インシデント対策：事案ごとにリスクの緩和、問題への対処。
プロジェクト管理：契約ベンダーの監督、プログラム実施の管理。
顧客への周知：お客様にセキュリティー事案ならびに戦略を伝達。
以上の知見を終結することで、私たちはレノボの製品＆サービスに関するセキュリティー懸念の解消に努めると同時に、継続的に潜在的なリスクとその解決方法を探し出すことに尽力しています。
1-2 お客様から信頼される安全な製品を設計・製造する
レノボの製品セキュリティー管理システムは、開発・製造を経てカスタマーサポートに至る、製品ライフサイクル全体を通じてセキュリティーに向き合うように構築されています。レノボ製品のセキュリティーが「後付け」でなく、最初から「組み込まれているもの」とするための努力です。
製品セキュリティーの監視（ガバナンス）を管理プロセスに組み込むことで、製品開発――特にBIOSやファームウェアの作成・配布の領域で、適切かつ安全なプロセスに従うことを確実なものとしています。
製品の構想段階から、お客様が必要とする重要なセキュリティー機能を組み込むように努力しています。
開発およびテストプロセスを通じて、レノボの倫理的ハッキングプログラムによりユーザー側で起こり得る潜在的な問題のヒントが与えられるので、出荷前に問題解決を図ることができます。
現在進行形のトレーニングプログラムにより、鍵となる人員には、重要なセキュリティー問題に関する最新情報、その問題の特定製品上での対処方法が確実に伝えられます。
1-3 サプライヤーによる部品供給から最終製品の納品まで徹底された安全なプロセス
製品サプライヤーの資格を与える際には、供給能力や品質基準など、厳格な評価プロセスがあります。レノボはまた、各サプライヤーの開発・製造の全プロセスを評価することで、セキュリティー面のリスクを特定・軽減する手助けもしています。サプライヤーは契約によりレノボのセキュリティー要件を満たすことが義務付けられています。資格が与えられた後も、サプライヤーは定期的に再評価され、セキュリティー関連の技術と実践を最新の状態に保つ努力が継続的に求められます。
レノボはサプライチェーン全体を通じて製品を守ることを目指しています。主要なコンポーネントにはラベルを貼り、偽造のリスクに対処しています。重要なパーツはサプライヤーによって制限され、組立てプロセスのどこからでも追跡できるようにしています。サプライヤーによるファームウェアおよびソフトウェアのロード（インストール）プロセスは、悪意あるプログラム（マルウェア）が製品に紛れ込む可能性を最小化するために入念に評価されます。最後に、レノボは安全な梱包材と、出荷から納品まで製品を追跡できる技術を採用しています。
レノボの製品およびサプライチェーンに対するセキュリティ強化の取り組みは、米国の権威あるセキュリティ企業であるChain Sercurity LLCから評価を受けています。レノボのセキュリティプロセス、コーポレートガバナンス、サプライヤープログラムは3年にわたって詳細に調査されたのちに評価が下されています。その分析結果は20ページの証明書となっておりChain Securityはレノボと共同で実施した作業、レノボが過去2年間におこなってきた変更や改善を詳細に示しています。そしてセキュリティのプロセスにおいて「業界でも先進的」との結論を出しています。
証明書の全文はこちら（959KB）で公開されています。
1-4 安全なライフサイクル管理とサポート
レノボは販売後の製品についてもセキュリティー関連のサポートを提供しています：（1）ソフトウェアやファームウェアのセキュリティーアップデート、および（2）指定パーツの交換。これらはお客様を守るために用意された手続きで、お使いの製品を安全な状態に保ちます。
1-5 セキュリティー事案の解決
レノボの製品セキュリティー部門（PSO）の中でも重要なパートが、製品セキュリティーインシデント対策チーム（PSIRT）です。セキュリティーの脅威や脆弱性と無縁で100パーセント安全な製品などありませんから、私たちはレノボ製品に影響を及ぼすいかなるリスクや脆弱性も最小化するための取組みを行っています。レノボPSIRTは業界のエキスパートと協力して、レノボ製品にリスクをもたらし得る新たな脆弱性や脅威の発見・理解に努め、それを解消するための修正プログラムなどを提供しています。レノボの製品セキュリティーに関するアドバイザリー（勧告）は support.lenovo.com/product でご覧になれます。
新たに脆弱性が見つかった場合には、当社のPSIRTにご連絡の上ご報告ください：psirt@lenovo.com。
1-6 私たちの約束
レノボ製品の中で息づくテクノロジーにより、私たちは業界リーダーに加わりました。私たちは、お客様ならびにセキュリティー分野の関係者の信用と信頼を継続的に勝ち得ていかなければならないことを理解し、これを肝に銘じています。私たちは常に改善できることを認識すると同時に、業界のベストプラクティスを追求し、これを守っていくことに邁進しています。
2. 製品サプライチェーンについて
2-1 概要
レノボの製品サプライチェーンは過去3年の間、米国の調査会社ガートナーが選ぶサプライチェーン企業トップ25社に選出されています。サプライチェーンは、製品の開発、製造、配送に重要な役割を担っています。レノボのサプライチェーンは、適格とするサプライヤー各社（サプライヤーベース）の管理・制限に始まり、開発と製造で用いる高品質で安全なコンポーネントは、このサプライヤーたちより供給されます。
大量の重要コンポーネントはバーコードで追跡されると同時に、レノボが受領するまで、サプライヤーの在庫品として組立てプロセスの中で管理されます。製造は、安全な管理環境（セキュリティーが管理された実際の施設を含む）と安全なネットワークを通じて行われます。その後、完成した製品は不正開封の跡が残るシールで封印・梱包され、移動用のボックスやパレットに載せられます。出荷された製品は、出発地からお客様に配達されるまで追跡されます。
下図は、レノボの製品ライフサイクルの全容を示しています。サプライチェーンに当たるのは「サプライヤー」と「レノボ製造およびテスト」で示されている部分です。
なお、ライフサイクル全体を通じて製品をサポートするには技術的な作業も必要とされます。ひとたび製品が出荷されると、一般的にはEOL（寿命が尽きた）パーツの交換に用いる代替品を選定したり、安全なプロセスを通じてBIOSやファームウェアを提供する必要が生じます。これらはいずれも、製品の全体的なライフサイクル管理およびサポートの一環として行われます。
2-2 開発プロセス
製品の企画および開発は、製品ライフサイクルの様々な領域に関わります。製品の最初の構想段階ではセキュリティーとデータ可用性の両方のニーズのバランスを取ることから、企画作業はセキュリティー要件の定義から始まります。製品の設計およびテストを通じて繰り返される重要かつ安全な開発プロセスについては、それと並行して（現在進行形で）レビューと改善を行うことで常に質の向上が図られます。セキュリティー要件が文書化されると、レノボの製品開発チームは新しい製品に適切な機能を盛り込むように製品企画を練り上げます。開発フェーズでは以下の領域に集中します。
開発および適格性評価
BIOS／ファームウェア
ソフトウェア
2-3 サプライヤーの管理＆指揮
製品サプライチェーンに強固なサプライヤーベース（ODM、OEM、コンポーネントメーカー、ソフトウェアプロバイダーなどで構成）を持つことは、ハイテクデバイスメーカーの成功にとって欠かせない要素です。これを確実なものとするために、レノボは中核となるサプライヤーの適格性を評価するプロセスを用意し、これを以て公式なサプライヤー評価作業を四半期ごとに実施しています。レノボのサプライヤーの多くは20年以上の取引があるパートナーです。こうした関係は丁寧に扱われ、新たなサプライヤーについては入念に評価されます。
レノボはサプライヤーとの関係を Trusted Supplier Program（信頼あるサプライヤープログラム）を通じて高めています。このプログラムの目的は、文書化されて監査可能なサプライチェーンのセキュリティープログラムを製品セキュリティープロセスの一部として実施することにより、お客様のリスクを管理することです。Trusted Supplier Program は、お客様のセキュリティーに影響を与える可能性があるインテリジェントコンポーネントのサプライヤー、ODM、OEM、修理サービスプロバイダーに対して適用されます。
インテリジェントコンポーネント（高機能部品）には以下が含まれます。
任意のマイクロプロセッサー上で稼働する任意のソフトウェアまたはファームウェア
マイクロプロセッサー本体
データ処理機能を有する任意の半導体デバイス
内部メモリーを備える任意のコンポーネントまたはデバイス
入出力機能を備える任意のコンポーネントまたはデバイス
レノボは、ハイテク市場でセキュリティー関連の最新動向や脆弱性の問題が持ち上がるたびに、そこに足並みを揃えて――むしろ先頭に立って確実に対応していくために、事前策として供給元に求める要件を継続的にレビューしています。
2-4 リスク管理
お客様から信頼されるテクノロジー製品の設計、製造、配送について、レノボは世界規模で広がる自社のサプライチェーンに依存しています。このサプライチェーンに対するリスクを管理するために、私たちは戦略的に以下の5つの領域／手続きに力を入れています。
サプライチェーンというものに対する潜在的なリスクを特定する。
レノボのサプライチェーンを特別な制限を加えて保護する。
問題の早期発見に努め、対策に掛ける時間や方法に余裕を持たせる。
できるかぎり迅速に対応して、いかなる脅威でも和らげる。
サプライチェーンを打たれ強く（耐久性・弾力性を考慮して）設計し、分断された場合でも、お客様への影響を最小限に回復させる。
この戦略を達成するために、レノボは絶えず自社のサプライチェーンを構成するシステムの評価・更新・最適化に努めて、お客様やビジネス上のニーズに応えています。
レノボは、法令遵守、セキュリティー、財務の健全性の観点から、取引先のサプライヤーとベンダーを定期的に監査しています。重要なコンポーネント（部品）については、複数のサプライヤーから調達する（またはサプライヤーの製造拠点を複数個所に分散する）必要性について検討する場合もあります。
レノボはまた社内プロセスについても間近で監視し、管理が行き届いているか定期的にテストしています。
私たちは、お客様のニーズに応えるための供給体制に影響を及ぼすいかなる状況も、監視、分析、管理し、最終的には影響を和らげなければなりません。問題を早期に特定することで、レノボには以下が可能になります。
サプライチェーンを調節して影響を最小限に抑える。
サプライヤーと協力して問題を解決する。
問題が引き続き解決されない場合はサプライヤーを換える。
サプライチェーンに関わるリスクを最小限に抑えることは、レノボとお客様の双方にとって重要です。
2-5 安全な製造
安全な製造拠点には以下が必要です。
物理的なセキュリティー：人員と物理的な工場施設のセキュリティーを管理するには、コントロール（制限・制御）の慣習化が必要です。これにはアクセス制限、訪問者や配達物の監視が含まれます。
安全な製造プロセス：製造エリアの内側では、生産プロセス＆コントロールが緊密に管理され、主要なコンポーネントやサブアセンブリーは電子的に追跡されます。最終製品は検品され、テストを通じて安全性、信頼性、機能性の各要件を満たしているか確認されます。
安全なソフトウェアイメージとBIOSの配布：顧客用イメージファイル複写（お客様が選んだOSやその他のアプリケーションソフトウェアのプリインストール作業）とBIOS設定は、製造プロセスの中でも特に細心の注意を要する手続きです。レノボは特に予防策を講じて、この作業を外部からのあらゆる干渉（書き換えなど）から守っています。
2-6 安全なロジスティクス
レノボのロジスティクスでは、梱包、出荷、配送を扱います。製品が組み立てられてテストが完了すると、それらは梱包されて出荷を待ちます。梱包には不正開封の跡が残るマテリアルで使われるので、保管中に問題が生じれば直ちに気付けるほか、輸送中の事故もすぐに調査できます。梱包後、レノボは適格としたロジスティクス担当サプライヤーと協力して、製品を安全にお客様（エンドユーザー）の元へ配送します。防御策は出荷プロセス全体で講じられ、安全な施設、トラックその他の輸送手段の採用に加えて、従業員、訪問者、運転手に対しても防犯検査が入念に行われます。出荷品はレノボの施設を出発した時点から、お客様の元で受領されるまで追跡されます。
2-7 ライフサイクルの管理
レノボのセキュリティーに対する取組みは、お客様の元へ製品が届けられた後も継続します。オペレーティングシステムとアプリケーションソフトウェア、チップセット、ファームウェア、BIOSのアップデートは、レノボのみならず、携帯電話会社など、同じエコシステムを共有するサプライヤーからも頻繁に提供されます。アップデートは予定された機能改善である場合もあれば、セキュリティーの脆弱性に対処するために、レノボPSIRT（製品セキュリティーインシデント対策チーム）が講じた作業に対応する場合もあります。理由はどうあれ、私たちはレノボ製システムで使われている部品の生産をサプライヤーが終了したような場合でも、その製品のライフサイクル（耐用期間）を通じて、更新ソフトウェアや交換用パーツを安全に供給するプロセスを整えています。この結果、修理に用いる新しいパーツを評価する必要性が生じますが、レノボは Trusted Supplier List（信頼あるサプライヤーのリスト）にあるサプライヤーから交換用パーツを調達できるようにしています。
3 ガバナンス
製品セキュリティープログラムによる支配
製品セキュリティープログラムを下支えするために、レノボはチェックおよびバランス機構を備えた統治システムを整えて、各種プロセスや慣行に対して常に従っているか全社的に確認しています。この統治システムは、セキュリティーに関するレビューを確実に製品開発とサプライチェーンのライフサイクルプロセスの一部としていくような管理の仕組みも備えています。この統治システムは、レノボの製品セキュリティー統治文書（Lenovo Product Security Governance Documentation）には以下のような概略図で示されています。
企業ポリシーを記した文書では全従業員に対して製品セキュリティーの重要性が説かれています。プログラム文書では製品セキュリティーの各プロセスを実施する作業が紹介されています。そして、実際の（個々の）プロセスに関する文書は、実施される特定の作業に関連付けられています。
統治プロセスの有効性を確実なものとするために、従業員に対してレノボの製品セキュリティーへのアプローチに関する理解と知識を教え広めるための訓練カリキュラムが開発されました。このカリキュラムは製品セキュリティーの考えかたの基本知識から始まる4段階の学習レベルおよび3段階の認定レベル（Associate、Professional、Master）で構成され、認定レベルについては個々の従業員の職務要件に応じたニーズを満たすように設計されています。上級レベルになるほど、カリキュラムの内容は安全なソフトウェア設計に対する先進的な考え方に移っていきます。レノボのサプライチェーン・セキュリティー・プログラムについての第三者によるレビュー結果はこちら（英文）（958KB）に公開しています。
上記のプロセスの実施に関するご質問は、製品セキュリティー部門（PSO）までお寄せください。