Lenovo ThinkPadのセキュリティリスク評価

未分類

企業IT担当者が知っておくべき技術的観点

はじめに

Lenovo ThinkPadは多くの企業で採用されているビジネスノートPCです。しかし、IT担当者として「日本製だから安全」という単純な判断は危険です。本記事では、エンジニア視点でのセキュリティリスクを技術的に解説します。

「日本製造」の誤解

よくある誤解

「ThinkPadは米沢工場で製造されているから中国製より安全」

技術的現実

製造場所とセキュリティリスクは直接的な関係がありません。

なぜ製造場所が関係ないのか

1. ファームウェアレベルの設計

  • BIOS/UEFIファームウェアは中国本社で開発
  • 製造時にファームウェアをインストールするだけ
  • バックドアがファームウェアに組み込まれていれば、どこで製造しても同じ

2. ハードウェア設計

  • マザーボード設計は本社で実施
  • チップセットの選定・設定も本社で決定
  • 製造工場は設計通りに組み立てるだけ

3. プリインストールソフトウェア

  • インストールするソフトウェアは本社で決定
  • 製造場所に関係なく同じソフトウェアが導入される

過去の実際のセキュリティ事件

1. Superfish事件（2015年）

概要

  • 2014年9月～12月出荷のLenovo PCにアドウェア「Superfish」をプリインストール
  • SSL通信を傍受可能な重大なセキュリティホール
  • 米連邦取引委員会（FTC）が訴訟

技術的問題点

問題の本質：ソフトウェアレベルの脆弱性
影響範囲：プリインストールソフトウェアを使用する全デバイス
製造場所：無関係（ソフトウェア仕様の問題）

2. Lenovo Service Engine（LSE）事件（2015年）

概要

  • BIOS起動時にWindowsシステムファイルを上書き
  • ユーザー情報をサーバーに送信する機能

技術的問題点

問題の本質：BIOSレベルのバックドア機能
影響範囲：該当するBIOSを搭載する全デバイス
製造場所：無関係（ファームウェア設計の問題）

3. テレメトリ・統計情報収集（継続中）

概要

  • ThinkPadシリーズで利用状況データを収集
  • 「製品改善のため」として正当化

技術的問題点

問題の本質：設計仕様レベルでの情報収集
影響範囲：該当機能を有効にした全デバイス
製造場所：無関係（機能仕様の問題）

現在のリスク評価

高リスク要素

1. 企業体制

  • 中国企業として中国政府の要請に応じる法的義務
  • 過去の実績から信頼性に疑問

2. 技術的リスク

  • ファームウェアアップデート時の追加リスク
  • 管理ソフトウェア（Lenovo Vantage等）経由のデータ収集
  • OEM版Windowsに含まれるLenovo固有機能

3. 国際的評価

  • 米国防省がLenovo製PC使用を禁止
  • ファイブアイズ諸国でも一時期使用禁止措置

低リスク要素

1. 企業利用実績

  • 多くの日本企業で現在も使用中
  • 大きなセキュリティ事件は近年発生していない

2. 競争環境

  • 市場競争によるセキュリティ意識の向上
  • 過去の教訓を受けた対策強化

企業IT担当者への推奨事項

即座に実施すべき対策

1. 現在の環境監査

# Lenovo固有のサービス・プロセス確認
Get-Service | Where-Object {$_.DisplayName -like "*Lenovo*"}
Get-Process | Where-Object {$_.ProcessName -like "*Lenovo*"}

2. 不要なプリインストールソフトウェアの削除

  • Lenovo Vantage
  • Lenovo Companion
  • その他Lenovo独自アプリケーション

3. ファームウェアアップデートの管理

  • 自動アップデートの無効化
  • 手動でのアップデート検証体制構築

中長期的な対策

1. 調達戦略の見直し

  • 機密性の高い業務：他メーカーも検討
  • 一般業務：継続使用も可（適切な監視下で）

2. セキュリティ監視体制

  • EDR（Endpoint Detection and Response）の導入
  • ネットワーク通信の監視強化
  • 定期的なセキュリティ監査

3. リスク分散

  • 複数メーカーでの調達
  • 重要システムでの使用制限

まとめ

重要なポイント

  1. 製造場所≠セキュリティレベル
    • 設計・開発体制が重要
    • 日本製造でもリスクは変わらない
  2. 過去の実績を重視
    • 複数回のセキュリティ事件が発生
    • 技術的な問題は設計レベルで発生
  3. 適切なリスク管理
    • 完全回避ではなく、適切な監視と対策
    • 業務の重要度に応じた使い分け

企業として取るべき姿勢

  • 盲目的な信頼ではなく、技術的な根拠に基づく判断
  • 継続的な監視とリスク評価
  • 代替手段の準備

参考資料

  • FTC vs Lenovo Settlement (2017)
  • US Department of Defense IT Equipment Restrictions
  • Various CVE reports related to Lenovo hardware/software

本記事は技術的事実に基づいて作成されており、特定企業への批判を目的としたものではありません。企業のIT担当者が適切な判断を行うための参考情報として提供します。

追加：なぜそれでも企業はTninkPadを採用しているのか？

調べてみると、セキュリティ問題があるのに企業が採用し続ける理由がいくつか見えてきます。

企業がThinkPadを採用し続ける理由

1. 「知らない」または「重要視していない」

  • 多くの企業のIT担当者がセキュリティ問題を詳しく把握していない
  • Superfishなどの事件は2015年で、担当者が変わっていたり記憶から薄れている
  • 「日本製だから安全」という誤解がまだ残っている

2. 実用面の圧倒的メリット

ThinkPadの人気理由として挙げられるのは：

  • キーボードの圧倒的な打ちやすさ – 他社と比べてダントツ
  • トラックポイントによる作業効率向上
  • 堅牢性 – MIL-STD-810G軍事規格準拠
  • コストパフォーマンス – 同性能で数万円安い

3. 調達部門の判断基準

  • 価格重視 – 予算削減圧力が強い
  • 既存資産との統一性 – 管理・保守の効率化
  • 安定供給 – 累計出荷台数2億台超の実績
  • サポート体制 – 法人向けサービスの充実

4. リスクの「相対化」

  • 「どのメーカーも完璧ではない」という判断
  • 31年の歴史で大きな事故が起きていない
  • 他社製品でも脆弱性は発生している

5. 組織の意思決定構造

  • IT部門 ≠ 調達部門 – 判断基準が異なる
  • 稟議システム – 一度決まった方針を変えにくい
  • 責任回避 – 「みんな使っているから」という安心感

6. セキュリティ対策の「外部化」

  • EDRやセキュリティソフトで「カバーできる」という考え
  • ネットワーク監視で「検知できる」という前提
  • リスクを受容して使い続ける判断

エンジニア視点での現実

製造場所に関係なく設計レベルの問題は回避できないのが現実です。

でも多くの企業は：

  • セキュリティよりコスト・使い勝手を優先
  • 「起きてから対応すればいい」という考え
  • 過去の事件を軽視している

これが「問題があると分かっているのに採用し続ける」理由ですね。特に日本企業は「みんなが使っているから安全」という同調圧力も強く働いています。

技術的には明らかにリスクがあるのに、組織的・経済的な理由で採用され続けているのが実情だと思います。

私：「31年の歴史で大きな事故が起きていない」って3つの事件は大きな事件でないのですか？

AI:私が引用した「大きな事故が起きていない」は完全に誤りでした。

これらの事件は：

  • 政府機関が介入するレベルの重大事件
  • 複数回にわたって発生している
  • ハードウェア・ソフトウェア両方で問題が起きている

むしろ「これだけ重大な事件を複数回起こしているメーカー」なのに企業が採用し続けているのが、より一層不可解だということになりますね。

私の先ほどの回答で、この重要な矛盾を見落としていました。ご指摘ありがとうございます。

つまり実際は「大きな事故が複数回起きているのに、なぜか採用され続けている」というのが正確な状況です。

じゃあ、どこがいいの？

こんな記事を書くと、当然、湧いてくる疑問だと思います。

弊社がPCを購入するに当たって色々比較した結果、

まず、第一候補に挙がったのがHP（ヒューレット・パッカード）のパソコンです。セキュリティが非常に堅牢でした。BIOSを勝手に書き込もうとすると拒否か書き換えられても戻すようになってます。

で、このHPにしたかったのですが、注文生産品で納品が最低3週間から5週間。諦めました。

結局、マウスコンピューター（BTOパソコン）にしました。他社はHPほどセキュリティに気を遣ってなく、高いだけ。ならば、BOTで組み立てて貰った方がいいと判断しました。

まあ、弊社はこんな感じです。ご参考になったでしょうか？

コメント

タイトルとURLをコピーしました