10が備える5段階のセキュリティ対策機能を順に解説する本連載。連載第4回は情報の保護について紹介する。Protection(WIP)」によるデータ分離、漏えい対策が重要だ。10のセキュリティ対策について、起動前のデバイスの保護から侵害の検出と対策まで、順を追って解説する本連載。「デバイスの保護」(第1回)と「脅威からの保護」(第2回)、「認証情報の保護」(第3回)に続いて、今回は「情報の保護」の仕組みを解説する(図1)。左右に並ぶ5つのスタックごとにさまざまな技術を利用している。今回は5つのスタックのうち、赤枠で囲った「情報の保護」について解説する。10では情報の保護を4つの領域に分けて実現している(図2)。4つの領域で情報の保護を行う情報の保護は、まずデバイス保護から始める必要がある。PCなどのデバイスの紛失や盗難に遭った場合でも、データを保護するための方策が必要だ。10では暗号化機能である「BitLocker」を用いる。データとアプリケーションそれぞれについて、ビジネスに関わるものとパーソナル用途に分離し、ビジネスデータをパーソナルな用途に利用することを防ぐ。利用後に安全に消去できる仕組みが必要である。Protection(WIP)」が担う。RMSを利用する必要があった。10では、WIPを用いてより簡単に対策できるようになった。RMSを併用することで、情報漏えい対策を構築でき、社内外で情報を共有した場合でも、情報を保護できる。Access)攻撃やコールドブートなど残存メモリへの攻撃対策を講じなければならない。Windowsへのログオンに加えて、BitLockerに対する起動前認証が必要だ。Number)を忘れたり、スタートアップキーを紛失したりした場合に、デバイスに対する一切のアクセスができなくなるといった運用上の問題があった。従来のWindowsでは起動前認証がデバイスのシングルサインオンにおける最大の課題だったのだ。3以降のSurfaceなどでは、暗号化済みで出荷される)。Monitoring)も提供済みだ。8.1以降の認定デバイスを用いた場合)、BitLockerを有効にした場合でも、シングルサインオンが構築しやすくなった。1394(FireWire)やThunderboltなどのDMAを利用するインタフェースだ。8以降の認定PCでは、ほとんどの場合実装されていない。DMAを利用するインタフェースがない場合や、無効化されている場合は、起動前認証がなくとも、DMA攻撃からBitLockerを守ることができる。加えて、新しいデバイスの多くは、メモリチップがマザーボードに直接接続されているため、コールドブートタイプの攻撃も難しい。10ではDMA攻撃に遭遇する確率が低くなる。Boot」を利用する必要がある。bootが利用できない場合は、起動するメディアをファームウェアで固定し、ファームウェアが変更されないようにパスワードで保護しなければならない。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。