JP7518954B1

JP7518954B1 - Information processing device and control method

Info

Publication number: JP7518954B1
Application number: JP2023169003A
Authority: JP
Inventors: 雅彦野村; 敬幸加藤; 幹雄萩原; 哲也中村
Original assignee: Lenovo Singapore Pte Ltd
Current assignee: Lenovo Singapore Pte Ltd
Filing date: 2023-09-29
Publication date: 2024-07-18
Anticipated expiration: 2043-09-29

Abstract

The present invention aims to suppress malware infection and improve security.
[Solution] The information processing device includes a risk state storage unit that stores information indicating a risk state indicating that a security problem may occur, and a control unit that executes processing based on a BIOS and an OS, and when the risk state is detected, stores the information indicating the risk state in a previous risk state storage unit by processing based on the BIOS. When starting the OS, if the risk state storage unit stores information indicating the risk state in processing based on the BIOS, the control unit starts a dedicated OS that is different from the OS and whose security is ensured, and restricts connection to a management network, which is a managed local network.
[Selected figure] Figure 2

Description

本発明は、情報処理装置、及び制御方法に関する。 The present invention relates to an information processing device and a control method.

近年、パーソナルコンピュータなどの情報処理装置では、マルウェアの攻撃をうけることがあり、マルウェアの感染を対策する技術が知られている（例えば、特許文献１を参照）。また、マルウェアは、例えば、ＯＳ（Operating System）の脆弱性を利用しており、情報処理装置では、マルウェアに利用される可能性がある脆弱性が発見された場合に、ＯＳの脆弱性を解消する更新プログラムが提供される対策が取られている。 In recent years, information processing devices such as personal computers have been subject to malware attacks, and techniques for preventing malware infection are known (see, for example, Patent Document 1). Furthermore, malware exploits vulnerabilities in, for example, the OS (Operating System), and when a vulnerability that may be exploited by malware is discovered in an information processing device, a countermeasure is taken in which an update program is provided to resolve the vulnerability of the OS.

特開２０１８－１０４９９号公報JP 2018-10499 A

しかしながら、従来の情報処理装置では、例えば、ＯＳの脆弱性を解消するパッチプログラムがリリースされているのに、パッチプログラムを適用する更新が行われずに、社内ネットワークなどの管理されたローカルネットワークに接続された場合、管理されたネットワーク内に、マルウェアを蔓延させてしまう可能性があった。 However, in conventional information processing devices, for example, if a patch program that resolves a vulnerability in the OS is released but an update to apply the patch program is not performed, and the device is connected to a managed local network such as an in-house network, there is a risk that malware may spread within the managed network.

本発明は、上記問題を解決すべくなされたもので、その目的は、マルウェアの感染を抑制し、セキュリティを向上させることができる情報処理装置、及び制御方法を提供することにある。 The present invention has been made to solve the above problems, and its purpose is to provide an information processing device and control method that can suppress malware infection and improve security.

上記問題を解決するために、本発明の一態様は、セキュリティに問題が生じる可能性があることを示すリスク状態を示す情報を記憶するリスク状態記憶部と、ＢＩＯＳ（Basic Input Output System）及びＯＳ（Operating System）に基づく処理を実行する制御部であって、前記リスク状態を検出した場合に、ＢＩＯＳに基づく処理により、前記リスク状態を示す情報を、前記リスク状態記憶部に記憶させる制御部とを備え、前記制御部は、前記ＯＳを起動する際に、前記ＢＩＯＳに基づく処理において、前記リスク状態記憶部が前記リスク状態を示す情報を記憶する場合に、前記ＯＳとは異なり、安全が確保されている専用ＯＳを起動するとともに、管理されたローカルネットワークである管理ネットワークへの接続を制限する情報処理装置である。 In order to solve the above problem, one aspect of the present invention is an information processing device that includes a risk state storage unit that stores information indicating a risk state indicating that a security problem may occur, and a control unit that executes processing based on a BIOS (Basic Input Output System) and an OS (Operating System), and when the risk state is detected, stores information indicating the risk state in the risk state storage unit through processing based on the BIOS, and when the control unit starts the OS, if the risk state storage unit stores information indicating the risk state in the processing based on the BIOS, the control unit starts a dedicated OS that is different from the OS and whose security is ensured, and restricts connection to a management network, which is a managed local network.

また、本発明の一態様は、上記の情報処理装置において、前記リスク状態には、前記ＯＳの起動が、予め設定された期間以上の間隔が空いている場合が含まれ、前記制御部は、前記ＯＳを起動する際に、前記ＢＩＯＳに基づく処理において、前記ＯＳの起動が、予め設定された期間以上の間隔が空いている場合に、前記リスク状態を示す情報を、前記リスク状態記憶部に記憶させるとともに、前記ＯＳの代わりに、前記専用ＯＳを起動させてもよい。 In one aspect of the present invention, in the information processing device described above, the risk state includes a case where the OS is started at an interval of at least a preset period, and when starting the OS, in processing based on the BIOS, if the OS is started at an interval of at least a preset period, the control unit may store information indicating the risk state in the risk state storage unit and start the dedicated OS instead of the OS.

また、本発明の一態様は、上記の情報処理装置において、前記リスク状態には、前記ＯＳ上で実行されるマルウェアを検出可能なプログラムを実行させた処理において、前記マルウェアが検出された場合が含まれ、前記制御部は、前記マルウェアを検出可能なプログラムの実行において、前記マルウェアが検出された場合に、前記ＢＩＯＳに基づく処理によって、前記リスク状態を示す情報を、前記リスク状態記憶部に記憶させてもよい。 In one aspect of the present invention, in the information processing device, the risk state includes a case where malware is detected during a process in which a program capable of detecting malware is executed on the OS, and the control unit may store information indicating the risk state in the risk state storage unit by processing based on the BIOS when the malware is detected during the execution of the program capable of detecting the malware.

また、本発明の一態様は、上記の情報処理装置において、前記制御部は、前記専用ＯＳに基づく処理によって、前記ＯＳの最新パッチプログラムを適用する前記ＯＳの更新処理を実行してもよい。 In one aspect of the present invention, in the information processing device, the control unit may execute an update process for the OS that applies the latest patch program for the OS through processing based on the dedicated OS.

また、本発明の一態様は、上記の情報処理装置において、前記制御部は、前記ＯＳの更新処理の実行が完了された場合に、前記ＢＩＯＳに基づく処理において、前記リスク状態でないことを示す情報を、前記リスク状態記憶部に記憶させてもよい。 In one aspect of the present invention, in the information processing device described above, when the execution of the OS update process is completed, the control unit may store information indicating that the BIOS-based process is not in the risk state in the risk state storage unit.

また、本発明の一態様は、上記の情報処理装置において、前記リスク状態には、自装置を実装している筐体が開封されたことを検出する開封検知センサによって、前記筐体が開封されたことを検出された場合が含まれ、前記制御部は、前記ＯＳを起動する際に、前記ＢＩＯＳに基づく処理において、前記開封検知センサによって、前記筐体が開封されたことが検出された場合に、前記リスク状態を示す情報を、前記リスク状態記憶部に記憶させるとともに、前記ＯＳの代わりに、前記専用ＯＳを起動させてもよい。 In one aspect of the present invention, in the information processing device described above, the risk state includes a case where an opening detection sensor that detects that the case in which the device is mounted has been opened detects that the case has been opened, and when starting the OS, if the opening detection sensor detects that the case has been opened in a process based on the BIOS, the control unit may store information indicating the risk state in the risk state storage unit and start the dedicated OS instead of the OS.

また、本発明の一態様は、上記の情報処理装置において、前記リスク状態には、前記ＯＳのプログラムが記憶されている記憶デバイスが載せ替えられた場合が含まれ、前記制御部は、前記ＯＳを起動する際に、前記ＢＩＯＳに基づく処理において、記憶デバイスが載せ替えられたことを検出した場合に、前記リスク状態を示す情報を、前記リスク状態記憶部に記憶させるとともに、前記ＯＳの代わりに、前記専用ＯＳを起動させてもよい。 In one aspect of the present invention, in the information processing device described above, the risk state includes a case where a storage device storing the OS program has been replaced, and when the control unit detects that a storage device has been replaced in processing based on the BIOS when starting the OS, the control unit may store information indicating the risk state in the risk state storage unit and start the dedicated OS instead of the OS.

また、本発明の一態様は、上記の情報処理装置において、前記制御部は、前記リスク状態記憶部が前記リスク状態を示す情報を記憶する場合に、前記リスク状態であることを示す情報を、セキュリティ管理者に通知してもよい。 In one aspect of the present invention, in the above information processing device, when the risk state storage unit stores information indicating the risk state, the control unit may notify a security administrator of the information indicating the risk state.

また、本発明の一態様は、上記の情報処理装置において、前記制御部は、前記リスク状態記憶部が前記リスク状態を示す情報を記憶する場合に、さらに、前記ＯＳがマルウェアに感染しているか否かの検出処理を実行してもよい。 In one aspect of the present invention, in the above information processing device, when the risk state storage unit stores information indicating the risk state, the control unit may further execute a detection process to determine whether or not the OS is infected with malware.

また、本発明の一態様は、セキュリティに問題が生じる可能性があることを示すリスク状態を示す情報を記憶するリスク状態記憶部と、ＢＩＯＳ（Basic Input Output System）及びＯＳ（Operating System）に基づく処理を実行する制御部とを備える情報処理装置の制御方法であって、前記制御部が、前記リスク状態を検出した場合に、ＢＩＯＳに基づく処理により、前記リスク状態を示す情報を、前記リスク状態記憶部に記憶させるステップと、前記制御部が、前記ＯＳを起動する際に、前記ＢＩＯＳに基づく処理において、前記リスク状態記憶部が前記リスク状態を示す情報を記憶する場合に、前記ＯＳとは異なり、安全が確保されている専用ＯＳを起動するとともに、管理されたローカルネットワークである管理ネットワークへの接続を制限するステップとを含む制御方法である。 Another aspect of the present invention is a control method for an information processing device including a risk state storage unit that stores information indicating a risk state indicating that a security problem may occur, and a control unit that executes processing based on a BIOS (Basic Input Output System) and an OS (Operating System), the control unit storing information indicating the risk state in the risk state storage unit by processing based on the BIOS when the control unit detects the risk state, and the control unit starting a dedicated OS, which is different from the OS and whose security is ensured, and restricting connection to a management network, which is a managed local network, when starting the OS and the control unit stores information indicating the risk state in the processing based on the BIOS.

本発明の上記態様によれば、マルウェアの感染を抑制し、セキュリティを向上させることができる。 The above aspects of the present invention can prevent malware infections and improve security.

本実施形態によるノートＰＣの主要なハードウェア構成の一例を示す図である。FIG. 2 is a diagram illustrating an example of a main hardware configuration of a notebook PC according to the present embodiment. 本実施形態による情報処理システム及びノートＰＣの機能構成の一例を示す機能ブロック図である。FIG. 2 is a functional block diagram showing an example of a functional configuration of an information processing system and a notebook PC according to the present embodiment. 本実施形態によるノートＰＣのセキュリティ対策処理の概要を示す図である。FIG. 1 is a diagram showing an overview of security countermeasure processing for a notebook PC according to an embodiment of the present invention. 本実施形態によるノートＰＣの起動処理の一例を示すフローチャートである。5 is a flowchart showing an example of a startup process of the notebook PC according to the present embodiment. 本実施形態によるノートＰＣのマルウェアの検出処理の一例を示すフローチャートである。10 is a flowchart illustrating an example of a malware detection process for a notebook PC according to the present embodiment. 本実施形態によるノートＰＣの回復処理の一例を示すフローチャートである。10 is a flowchart illustrating an example of recovery processing of a notebook PC according to the present embodiment.

以下、本発明の一実施形態による情報処理装置、及び制御方法について、図面を参照して説明する。 Below, an information processing device and control method according to one embodiment of the present invention will be described with reference to the drawings.

図１は、本実施形態によるノートＰＣ１の主要なハードウェア構成の一例を示す図である。なお、本実施形態において、情報処理装置の一例として、ノートＰＣ１について説明する。 FIG. 1 is a diagram showing an example of the main hardware configuration of a notebook PC 1 according to this embodiment. In this embodiment, the notebook PC 1 will be described as an example of an information processing device.

図１に示すように、ノートＰＣ１は、ＣＰＵ１１と、メインメモリ１２と、ビデオサブシステム１３と、表示部１４と、チップセット２１と、ＢＩＯＳメモリ２２と、ＳＳＤ２３と、オーディオシステム２４と、ＷＬＡＮカード２５と、ＵＳＢコネクタ２６と、エンベデッドコントローラ３１と、入力部３２と、電源回路３３と、センサ部３４とを備える。 As shown in FIG. 1, the notebook PC 1 includes a CPU 11, a main memory 12, a video subsystem 13, a display unit 14, a chipset 21, a BIOS memory 22, an SSD 23, an audio system 24, a WLAN card 25, a USB connector 26, an embedded controller 31, an input unit 32, a power supply circuit 33, and a sensor unit 34.

なお、本実施形態において、ＣＰＵ１１と、チップセット２１とは、メイン制御部１０に対応する。また、メイン制御部１０は、メモリ（メインメモリ１２）に記憶されたプログラムを実行するプロセッサ（メインプロセッサ）の一例である。 In this embodiment, the CPU 11 and the chipset 21 correspond to the main control unit 10. The main control unit 10 is an example of a processor (main processor) that executes a program stored in a memory (main memory 12).

ＣＰＵ（Central Processing Unit）１１は、プログラム制御により種々の演算処理を実行し、ノートＰＣ１全体を制御している。
メインメモリ１２は、ＣＰＵ１１の実行プログラムの読み込み領域として、又は、実行プログラムの処理データを書き込む作業領域として利用される書き込み可能メモリである。メインメモリ１２は、例えば、複数個のＤＲＡＭ（Dynamic Random Access Memory）チップで構成される。この実行プログラムには、ＢＩＯＳ（Basic Input Output System）、ＯＳ、周辺機器類をハードウェア操作するための各種ドライバ、各種サービス／ユーティリティ、アプリケーションプログラム等が含まれる。 A CPU (Central Processing Unit) 11 executes various arithmetic processes under program control, and controls the entire notebook PC 1 .
The main memory 12 is a writable memory used as a read area for the execution program of the CPU 11 or as a work area for writing processing data for the execution program. The main memory 12 is composed of, for example, multiple DRAM (Dynamic Random Access Memory) chips. The execution programs include a Basic Input Output System (BIOS), an OS, various drivers for operating the hardware of peripheral devices, various services/utilities, application programs, etc.

ビデオサブシステム１３は、画像表示に関連する機能を実現するためのサブシステムであり、ビデオコントローラを含んでいる。このビデオコントローラは、ＣＰＵ１１からの描画命令を処理し、処理した描画情報をビデオメモリに書き込むとともに、ビデオメモリからこの描画情報を読み出して、表示部１４に描画データ（表示データ）として出力する。 The video subsystem 13 is a subsystem for implementing functions related to image display, and includes a video controller. This video controller processes drawing commands from the CPU 11, writes the processed drawing information to a video memory, and also reads the drawing information from the video memory and outputs it to the display unit 14 as drawing data (display data).

表示部１４は、例えば、液晶ディスプレイであり、ビデオサブシステム１３から出力された描画データ（表示データ）に基づく表示画面を表示する。 The display unit 14 is, for example, a liquid crystal display, and displays a display screen based on the drawing data (display data) output from the video subsystem 13.

チップセット２１は、ＵＳＢ（Universal Serial Bus）、シリアルＡＴＡ（AT Attachment）、ＳＰＩ（Serial Peripheral Interface）バス、ＰＣＩ（Peripheral Component Interconnect）バス、ＰＣＩ－Ｅｘｐｒｅｓｓバス、及びＬＰＣ（Low Pin Count）バスなどのコントローラを備えており複数のデバイスが接続される。図１では、デバイスの例示として、ＢＩＯＳメモリ２２と、ＳＳＤ２３と、オーディオシステム２４と、ＷＬＡＮカード２５と、ＵＳＢコネクタ２６とが、チップセット２１に接続されている。 The chipset 21 includes controllers for a Universal Serial Bus (USB), a serial AT Attachment (Serial ATA), a Serial Peripheral Interface (SPI) bus, a Peripheral Component Interconnect (PCI) bus, a PCI-Express bus, and a Low Pin Count (LPC) bus, and is connected to multiple devices. In FIG. 1, a BIOS memory 22, an SSD 23, an audio system 24, a WLAN card 25, and a USB connector 26 are connected to the chipset 21 as examples of devices.

ＢＩＯＳメモリ２２は、例えば、ＥＥＰＲＯＭ（Electrically Erasable Programmable Read Only Memory）やフラッシュＲＯＭなどの電気的に書き換え可能な不揮発性メモリで構成される。ＢＩＯＳメモリ２２は、ＢＩＯＳ、及びエンベデッドコントローラ３１などを制御するためのシステムファームウェアなどを記憶する。 The BIOS memory 22 is composed of an electrically rewritable non-volatile memory such as an EEPROM (Electrically Erasable Programmable Read Only Memory) or a flash ROM. The BIOS memory 22 stores the BIOS and system firmware for controlling the embedded controller 31, etc.

ＳＳＤ（Solid State Drive）２３（不揮発性記憶装置の一例）は、ＯＳ、各種ドライバ、各種サービス／ユーティリティ、アプリケーションプログラム、及び各種データを記憶する。
オーディオシステム２４は、音データの記録、再生、出力を行う。 An SSD (Solid State Drive) 23 (an example of a non-volatile storage device) stores an OS, various drivers, various services/utilities, application programs, and various data.
The audio system 24 records, reproduces, and outputs audio data.

ＷＬＡＮ（Wireless Local Area Network）カード２５は、ワイヤレス（無線）ＬＡＮにより、ネットワークに接続して、データ通信を行う。
ＵＳＢコネクタ２６は、ＵＳＢを利用した周辺機器類を接続するためのコネクタである。 A WLAN (Wireless Local Area Network) card 25 connects to a network via a wireless LAN and performs data communication.
The USB connector 26 is a connector for connecting peripheral devices that utilize USB.

エンベデッドコントローラ３１（サブ制御部の一例）は、ノートＰＣ１のシステム状態に関わらず、各種デバイス（周辺装置やセンサ等）を監視し制御するワンチップマイコン（One-Chip Microcomputer）である。また、エンベデッドコントローラ３１は、電源回路３３を制御する電源管理機能を有している。なお、エンベデッドコントローラ３１は、不図示のＣＰＵ、ＲＯＭ、ＲＡＭなどで構成されるとともに、複数チャネルのＡ／Ｄ入力端子、Ｄ／Ａ出力端子、タイマ、及びデジタル入出力端子を備えている。エンベデッドコントローラ３１には、それらの入出力端子を介して、例えば、入力部３２、電源回路３３、及びセンサ部３４などが接続されており、エンベデッドコントローラ３１は、これらの動作を制御する。 The embedded controller 31 (an example of a sub-controller) is a one-chip microcomputer that monitors and controls various devices (peripheral devices, sensors, etc.) regardless of the system state of the notebook PC 1. The embedded controller 31 also has a power management function that controls the power supply circuit 33. The embedded controller 31 is composed of a CPU, ROM, RAM, etc. (not shown), and has A/D input terminals for multiple channels, D/A output terminals, a timer, and digital input/output terminals. The embedded controller 31 is connected to, for example, an input unit 32, a power supply circuit 33, and a sensor unit 34 via these input/output terminals, and the embedded controller 31 controls the operations of these.

入力部３２は、例えば、キーボード、ポインティング・デバイス、タッチパッドなどの入力デバイスである。
電源回路３３は、例えば、ＤＣ／ＤＣコンバータ、充放電ユニット、電池ユニット、ＡＣ／ＤＣアダプタなどを含んでおり、ＡＣ／ＤＣアダプタ、又は電池ユニットから供給される直流電圧を、ノートＰＣ１を動作させるために必要な複数の電圧に変換する。また、電源回路３３は、エンベデッドコントローラ３１からの制御に基づいて、ノートＰＣ１の各部に電力を供給する。 The input unit 32 is, for example, an input device such as a keyboard, a pointing device, or a touch pad.
The power supply circuit 33 includes, for example, a DC/DC converter, a charge/discharge unit, a battery unit, an AC/DC adapter, etc., and converts a DC voltage supplied from the AC/DC adapter or the battery unit into a plurality of voltages required to operate the notebook PC 1. The power supply circuit 33 also supplies power to each part of the notebook PC 1 based on the control from the embedded controller 31.

センサ部３４は、ノートＰＣ１の内部の各種検出データを検出するセンサである。センサ部３４には、例えば、温度センサ、３次元加速度センサ、ジャイロセンサ、後述する開封検知センサ部３４１（図２参照）、等が含まれる。 The sensor unit 34 is a sensor that detects various detection data inside the notebook PC 1. The sensor unit 34 includes, for example, a temperature sensor, a three-dimensional acceleration sensor, a gyro sensor, an opening detection sensor unit 341 (see FIG. 2 ) described later, and the like.

次に、図２を参照して、本実施形態によるノートＰＣ１の機能構成について説明する。
図２は、本実施形態による情報処理システム１００及びノートＰＣ１の機能構成の一例を示す機能ブロック図である。なお、図２では、ノートＰＣ１が備える機能構成のうち、本発明に関連する構成のみを記載している。 Next, the functional configuration of the notebook PC 1 according to this embodiment will be described with reference to FIG.
2 is a functional block diagram showing an example of the functional configuration of the information processing system 100 and the notebook PC 1 according to this embodiment. Note that, in FIG. 2, only the configuration related to the present invention is shown among the functional configuration of the notebook PC 1.

図２に示すように、情報処理システム１００は、ノートＰＣ１と、ブートサーバ２と、社内管理サーバ３とを備える。ノートＰＣ１と、ブートサーバ２と、社内管理サーバ３とは、ネットワークＮＷ１及びネットワークＮＷ２を介して、互いに接続可能である。 As shown in FIG. 2, the information processing system 100 includes a notebook PC 1, a boot server 2, and an in-house management server 3. The notebook PC 1, the boot server 2, and the in-house management server 3 can be connected to each other via a network NW1 and a network NW2.

ブートサーバ２は、例えば、ノートＰＣ１の製造メーカが各種サービスを提供するサーバ装置であり、ネットワークブートのためのサーバ装置である。ブートサーバ２は、ネットワークＮＷ１を介して、後述する専用のローカルＯＳのプログラムをノートＰＣ１に提供する。 The boot server 2 is, for example, a server device provided by the manufacturer of the notebook PC 1 to provide various services, and is a server device for network booting. The boot server 2 provides a dedicated local OS program, which will be described later, to the notebook PC 1 via the network NW1.

社内管理サーバ３は、例えば、社内ネットワークや、ノートＰＣ１を管理する管理サーバである。社内管理サーバ３は、例えば、セキュリティ管理者によって管理されるサーバ装置である。 The internal management server 3 is, for example, a management server that manages the internal network and the notebook PC 1. The internal management server 3 is, for example, a server device managed by a security administrator.

ネットワークＮＷ１は、広域通信網（ＷＡＮ）のネットワークあるいは企業内のローカルエリアネットワーク（ＬＡＮ）である。本実施形態では、ネットワークＮＷ１には、例えば、ノートＰＣ１、ブートサーバ２、及び社内管理サーバ３が接続可能である。 The network NW1 is a wide area network (WAN) or a local area network (LAN) within a company. In this embodiment, for example, a notebook PC 1, a boot server 2, and an in-house management server 3 can be connected to the network NW1.

ネットワークＮＷ２は、企業内のローカルエリアネットワーク（ＬＡＮ）であり、社内ネットワークである。ネットワークＮＷ２は、例えば、管理されたローカルネットワークである管理ネットワークの一例である。ネットワークＮＷ２には、例えば、企業内で管理されている装置が接続可能であり、例えば、ノートＰＣ１及び社内管理サーバ３が接続される。 Network NW2 is a local area network (LAN) within a company, and is an internal company network. Network NW2 is, for example, an example of a managed network, which is a managed local network. For example, devices managed within the company can be connected to network NW2, and for example, notebook PC 1 and internal management server 3 are connected to network NW2.

また、図２に示すように、ノートＰＣ１は、メイン制御部１０と、エンベデッドコントローラ３１と、記憶部４０と、ＮＷ（Network）通信部２５０と、開封検知センサ部３４１とを備える。 As shown in FIG. 2, the notebook PC 1 also includes a main control unit 10, an embedded controller 31, a memory unit 40, a network (NW) communication unit 250, and an opening detection sensor unit 341.

ＮＷ通信部２５０は、例えば、ＷＬＡＮカード２５などのネットワークデバイスにより実現される機能部である。メイン制御部１０は、ＮＷ通信部２５０を介して、ネットワークＮＷ１及びネットワークＮＷ２に接続可能である。 The NW communication unit 250 is a functional unit realized by a network device such as a WLAN card 25. The main control unit 10 can be connected to the network NW1 and the network NW2 via the NW communication unit 250.

開封検知センサ部３４１は、ノートＰＣ１の筐体が開封されたことを検出するセンサであり、例えば、ハードウェア的な攻撃等のセキュリティ上の問題が生じる可能性があることを判定するために用いられる。開封検知センサ部３４１は、エンベデッドコントローラ３１を介して、ノートＰＣ１の筐体が開封されたことを示す検出データをメイン制御部１０に出力する。 The opening detection sensor unit 341 is a sensor that detects that the housing of the notebook PC 1 has been opened, and is used, for example, to determine whether there is a possibility of a security problem such as a hardware attack. The opening detection sensor unit 341 outputs detection data indicating that the housing of the notebook PC 1 has been opened to the main control unit 10 via the embedded controller 31.

記憶部４０は、例えば、ＢＩＯＳメモリ２２又はＳＳＤ２３、等のメモリにより実現される記憶部であり、例えば、メイン制御部１０の各種処理に利用される各種情報を記憶する。記憶部４０は、リスク状態記憶部４１と、ＯＳ起動日時記憶部４２とを備える。 The storage unit 40 is realized by a memory such as the BIOS memory 22 or the SSD 23, and stores, for example, various information used in various processes of the main control unit 10. The storage unit 40 includes a risk state storage unit 41 and an OS startup date and time storage unit 42.

リスク状態記憶部４１は、ＢＩＯＳメモリ２２等のメモリにより実現される記憶部であり、セキュリティに問題が生じる可能性があることを示すリスク状態を示す情報を記憶する。リスク状態記憶部４１は、後述するリスク状態のケースに応じて、異なるデータを、リスク状態を示す情報として記憶してもよい。 The risk state storage unit 41 is a storage unit realized by a memory such as the BIOS memory 22, and stores information indicating a risk state indicating that a security problem may occur. The risk state storage unit 41 may store different data as information indicating a risk state depending on the case of the risk state described below.

ＯＳ起動日時記憶部４２は、ＢＩＯＳメモリ２２等により実現される記憶部であり、ＯＳ（例えば、Ｗｉｎｄｏｗｓ（登録商標））が前回、起動された日時情報を記憶する。ＯＳ起動日時記憶部４２が記憶する日時情報は、ＯＳの前回の起動から、どの位の期間の間隔が空いているのかの検出に用いられる。 The OS startup date and time storage unit 42 is a storage unit realized by the BIOS memory 22 or the like, and stores date and time information when the OS (e.g., Windows (registered trademark)) was last started. The date and time information stored in the OS startup date and time storage unit 42 is used to detect how long it has been since the OS was last started.

メイン制御部１０（制御部の一例）は、ＣＰＵ１１及びチップセット２１に、ＢＩＯＳメモリ２２及びＳＳＤ２３が記憶するプログラムを実行させることで実現される機能部であり、ＢＩＯＳ及びＯＳに基づく各種処理を実行する。 The main control unit 10 (an example of a control unit) is a functional unit that is realized by having the CPU 11 and chipset 21 execute programs stored in the BIOS memory 22 and SSD 23, and executes various processes based on the BIOS and OS.

メイン制御部１０は、リスク状態を検出した場合に、ＢＩＯＳに基づく処理により、リスク状態を示す情報を、リスク状態記憶部４１に記憶させる。また、メイン制御部１０は、ＯＳを起動する際に、ＢＩＯＳに基づく処理において、リスク状態記憶部４１がリスク状態を示す情報を記憶する場合に、ＯＳとは異なり、安全が確保されている専用ＯＳを起動するとともに、管理されたローカルネットワーク（例えば、社内ネットワーク）であるネットワークＮＷ２（管理ネットワーク）への接続を制限する。ここで、専用ＯＳとは、例えば、ＷｉｎｄｏｗｓＰＥ（Preinstallation Environment）（Ｗｉｎｄｏｗｓは、登録商標）であり、専用ポータブルＯＳである。 When the main control unit 10 detects a risk state, it stores information indicating the risk state in the risk state storage unit 41 through processing based on the BIOS. Furthermore, when starting the OS, if the risk state storage unit 41 stores information indicating a risk state in processing based on the BIOS, the main control unit 10 starts a dedicated OS that is different from the OS and is secured, and restricts connection to network NW2 (managed network), which is a managed local network (e.g., an in-house network). Here, the dedicated OS is, for example, Windows PE (Preinstallation Environment) (Windows is a registered trademark), a dedicated portable OS.

メイン制御部１０は、リスク状態記憶部４１がリスク状態を示す情報を記憶している場合に、ネットワークブート（ＨＴＴＰｓＢｏｏｔ）を用いてブートサーバ２から専用ポータブルＯＳのプログラムを取得、又は、ＳＳＤ２３の安全なシステム領域のパーティションから専用ポータブルＯＳのプログラムを取得し、専用ポータブルＯＳを起動する。また、この場合、メイン制御部１０は、ネットワークＮＷ２（社内ネットワーク）への接続を禁止する。
メイン制御部１０は、ＢＩＯＳ処理部１０１と、ＯＳ処理部１０２と、ローカルＯＳ処理部１０３とを備える。 When the risk state storage unit 41 stores information indicating a risk state, the main control unit 10 acquires the program of the dedicated portable OS from the boot server 2 using a network boot (HTTPs Boot), or acquires the program of the dedicated portable OS from a partition of a secure system area of the SSD 23, and starts the dedicated portable OS. In this case, the main control unit 10 also prohibits connection to the network NW2 (intra-company network).
The main control unit 10 includes a BIOS processing unit 101 , an OS processing unit 102 , and a local OS processing unit 103 .

ＢＩＯＳ処理部１０１は、ＣＰＵ１１及びチップセット２１に、ＢＩＯＳメモリ２２が記憶するＢＩＯＳのプログラムを実行させることで実現される機能部である。ＢＩＯＳ処理部１０１は、ＢＩＯＳに基づく処理（ＢＩＯＳの処理）を実行する。 The BIOS processing unit 101 is a functional unit that is realized by having the CPU 11 and the chipset 21 execute the BIOS program stored in the BIOS memory 22. The BIOS processing unit 101 executes processing based on the BIOS (BIOS processing).

ＢＩＯＳ処理部１０１は、リスク状態を検出した場合に、ＢＩＯＳに基づく処理により、リスク状態を示す情報を、リスク状態記憶部４１に記憶させる。
なお、リスク状態には、以下の４つのケースが含まれる。 When the BIOS processing unit 101 detects a risk state, it stores information indicating the risk state in the risk state storage unit 41 through processing based on the BIOS.
The risk state includes the following four cases.

＜ケース（１）＞
リスク状態には、ケース（１）として、ＯＳの起動が、予め設定された期間以上の間隔が空いている場合が含まれる。ケース（１）では、前回のＯＳの起動から、例えば、３カ月以上の間隔が空いた場合である。ＢＩＯＳ処理部１０１は、ＯＳ起動の際に、ＯＳ起動日時記憶部４２から前回のＯＳ起動の日時情報を取得し、前回の日時情報と、現在の日時情報とに基づいて、前回からの経過期間を算出する。ＢＩＯＳ処理部１０１は、前回からの経過期間が、例えば、３カ月以上である場合に、リスク状態を示す情報（例えば、“０１”）を、リスク状態記憶部４１に記憶させる。 <Case (1)>
The risk state includes case (1) where an interval of a preset period or more has elapsed since the OS was started. Case (1) is a case where, for example, three months or more have elapsed since the previous OS startup. When starting the OS, the BIOS processing unit 101 obtains date and time information of the previous OS startup from the OS startup date and time storage unit 42, and calculates the period elapsed since the previous startup based on the previous date and time information and the current date and time information. If the period elapsed since the previous startup is, for example, three months or more, the BIOS processing unit 101 stores information indicating a risk state (for example, "01") in the risk state storage unit 41.

＜ケース（２）＞
リスク状態には、ケース（２）として、ＯＳ上で実行されるマルウェアを検出可能なプログラムを実行させた処理において、マルウェアが検出された場合が含まれる。マルウェアを検出可能なプログラムには、例えば、ＥＰＰ（Endpoint Protection Platform）、及びＥＤＲ（Endpoint Detection and Response）などが含まれる。ＢＩＯＳ処理部１０１は、マルウェアを検出可能なプログラムを実行させた処理において、マルウェアが検出された場合に、リスク状態を示す情報（例えば、“０２”）を、リスク状態記憶部４１に記憶させる。 <Case (2)>
The risk state includes, as case (2), a case where malware is detected in a process in which a program capable of detecting malware is executed on the OS. Examples of programs capable of detecting malware include EPP (Endpoint Protection Platform) and EDR (Endpoint Detection and Response). When malware is detected in a process in which a program capable of detecting malware is executed, the BIOS processing unit 101 stores information indicating the risk state (e.g., "02") in the risk state storage unit 41.

＜ケース（３）＞
リスク状態には、ケース（３）として、自装置（ノートＰＣ１）を実装している筐体が開封されたことを検出する開封検知センサ部３４１によって、筐体が開封されたことを検出された場合が含まれる。すなわち、開封検知センサ部３４１が、ノートＰＣ１の筐体が開封されたことを検出した場合である。ＢＩＯＳ処理部１０１は、ＯＳを起動する際に、開封検知センサ部３４１によって、筐体が開封されたことが検出された場合に、リスク状態を示す情報（例えば、“０３”）を、リスク状態記憶部４１に記憶させるとともに、ＯＳの代わりに、専用ＯＳを起動させる。 <Case (3)>
The risk state includes, as case (3), a case where the opening detection sensor unit 341, which detects that the housing in which the device itself (notebook PC 1) is mounted, detects that the housing has been opened. That is, the opening detection sensor unit 341 detects that the housing of the notebook PC 1 has been opened. When starting the OS, if the opening detection sensor unit 341 detects that the housing has been opened, the BIOS processing unit 101 stores information indicating a risk state (for example, "03") in the risk state storage unit 41 and starts a dedicated OS instead of the OS.

＜ケース（４）＞
リスク状態には、ケース（４）として、ＯＳのプログラムが記憶されている記憶デバイス（例えば、ＳＳＤ２３などの重要な部品）が載せ替えられた場合が含まれる。ＢＩＯＳ処理部１０１は、ＯＳを起動する際に、記憶デバイス（例えば、ＳＳＤ２３などの重要な部品）が載せ替えられたことを検出した場合に、リスク状態を示す情報（例えば、“０４”）を、リスク状態記憶部４１に記憶させるとともに、ＯＳの代わりに、専用ＯＳを起動させる。 <Case (4)>
The risk state includes, as case (4), a case where a storage device (e.g., an important part such as the SSD 23) in which an OS program is stored has been replaced. When the BIOS processing unit 101 detects that a storage device (e.g., an important part such as the SSD 23) has been replaced when starting the OS, the BIOS processing unit 101 stores information indicating a risk state (e.g., "04") in the risk state storage unit 41 and starts a dedicated OS instead of the OS.

ＯＳ処理部１０２は、ＣＰＵ１１及びチップセット２１に、ＳＳＤ２３が記憶するＯＳを含む各種プログラムを実行させることで実現される機能部である。ＯＳ処理部１０２は、ＯＳに基づく処理（ＯＳの処理）を実行するとともに、ＯＳ上で動作する各種ドライバやアプリケーションプログラムに基づく処理を実行する。 The OS processing unit 102 is a functional unit that is realized by having the CPU 11 and the chipset 21 execute various programs, including the OS, stored in the SSD 23. The OS processing unit 102 executes processes based on the OS (OS processing) and also executes processes based on various drivers and application programs that run on the OS.

ＯＳ処理部１０２は、例えば、ＥＰＰ、及びＥＤＲなどのマルウェアを検出可能なプログラムをＯＳ上で実行させる処理を実行し、マルウェアの感染を検出した場合に、処理をＢＩＯＳ処理部１０１に渡し、リスク状態を示す情報（例えば、“０２”）を、リスク状態記憶部４１に記憶させる。なお、ＯＳ処理部１０２は、ＥＰＰ、及びＥＤＲなどにより、例えば、マルウェアを隔離したり、ネットワークＮＷ２との接続を禁止したりしてもよい。 The OS processing unit 102 executes a process for running a program capable of detecting malware, such as EPP and EDR, on the OS, and when a malware infection is detected, passes the process to the BIOS processing unit 101 and stores information indicating the risk state (e.g., "02") in the risk state storage unit 41. The OS processing unit 102 may, for example, isolate the malware or prohibit connection to the network NW2 using EPP and EDR.

ローカルＯＳ処理部１０３は、ＣＰＵ１１及びチップセット２１に、専用ポータブルＯＳのプログラムを実行させることで実現される機能部であり、専用ポータブルＯＳに基づく各種処理を実行する。ローカルＯＳ処理部１０３は、例えば、リスク状態からの回復処理を実行する。 The local OS processing unit 103 is a functional unit that is realized by having the CPU 11 and the chipset 21 execute a program of the dedicated portable OS, and executes various processes based on the dedicated portable OS. The local OS processing unit 103 executes, for example, a recovery process from a risk state.

ローカルＯＳ処理部１０３は、リスク状態が、上述したケース（１）及びケース（２）である場合に、専用ポータブルＯＳに基づく処理によって、ＯＳの最新パッチプログラムを適用するＯＳの更新処理を実行する。ローカルＯＳ処理部１０３は、リスク状態が、上述したケース（１）及びケース（２）である場合に、例えば、“ｄｉｓｍ．ｅｘｅ”のプリグラムを実行させて、ＯＳの最新パッチプログラムをインストールする処理を実行する。 When the risk state is the above-mentioned case (1) or case (2), the local OS processing unit 103 executes an OS update process that applies the latest patch program for the OS by processing based on the dedicated portable OS. When the risk state is the above-mentioned case (1) or case (2), the local OS processing unit 103 executes a process of installing the latest patch program for the OS, for example, by executing the "dism.exe" program.

ローカルＯＳ処理部１０３は、“ｄｉｓｍ．ｅｘｅ”の実行により、ＯＳの最新パッチプログラムをインストールする環境を整えた上で、ノートＰＣ１を再起動させて、最新パッチプログラムをＳＳＤ２３にインストールさせる。また、ローカルＯＳ処理部１０３は、再起動により、最新パッチプログラムのインストールが完了した場合に、ＢＩＯＳ処理部１０１に、リスク状態でないことを示す情報（例えば、“００”）を、リスク状態記憶部４１に記憶させる。 The local OS processing unit 103 executes "dism.exe" to prepare an environment for installing the latest patch program of the OS, and then restarts the notebook PC 1 to install the latest patch program in the SSD 23. Furthermore, when the installation of the latest patch program is completed by restarting the notebook PC 1, the local OS processing unit 103 causes the BIOS processing unit 101 to store information indicating that there is no risk state (for example, "00") in the risk state storage unit 41.

また、ローカルＯＳ処理部１０３は、リスク状態が、上述したケース（３）及びケース（４）である場合に、リスク状態であることを示す情報（例えば、筐体が開封されたことを示す情報、載せ替えられた部品情報（例えば、ＳＳＤ２３など））を、セキュリティ管理者に通知する。ローカルＯＳ処理部１０３は、例えば、エージェントプログラムを実行させることで、ＮＷ通信部２５０を介して、社内管理サーバ３にリスク状態であることを示す情報を通知する。 When the risk state is one of the above-mentioned cases (3) and (4), the local OS processing unit 103 notifies the security administrator of information indicating the risk state (e.g., information indicating that the housing has been opened, information on the replaced part (e.g., SSD 23, etc.)). The local OS processing unit 103 notifies the in-house management server 3 of the information indicating the risk state via the NW communication unit 250, for example, by executing an agent program.

次に、図面を参照して、本実施形態によるノートＰＣ１及び情報処理システム１００の動作について説明する。
図３は、本実施形態によるノートＰＣ１のセキュリティ対策処理の概要を示す図である。 Next, the operation of the notebook PC 1 and the information processing system 100 according to the present embodiment will be described with reference to the drawings.
FIG. 3 is a diagram showing an overview of security countermeasure processing of the notebook PC 1 according to this embodiment.

図３に示すように、ノートＰＣ１のセキュリティ対策処理は、次の４つのステップを有している。
ステップＳ１の処理は、“Ｄｅｔｅｃｔ”の処理（検出処理）であり、ノートＰＣ１は、上述したリスク状態を検出する。ステップＳ１において、ノートＰＣ１のメイン制御部１０は、上述したケース（１）～ケース（４）により、リスク状態を検出し、ＢＩＯＳに基づく処理により、リスク状態を示す情報を、リスク状態記憶部４１に記憶させる。 As shown in FIG. 3, the security countermeasure process of the notebook PC 1 includes the following four steps.
The process of step S1 is a "Detect" process (detection process), and the notebook PC 1 detects the above-mentioned risk state. In step S1, the main control unit 10 of the notebook PC 1 detects the risk state according to the above-mentioned cases (1) to (4), and stores information indicating the risk state in the risk state storage unit 41 by processing based on the BIOS.

次に、ステップＳ２の処理は、“Ｉｓｏｌａｔｅ”の処理（隔離処理）であり、メイン制御部１０は、ネットワークＮＷ１（社内ネットワーク）への接続を禁止して、リスク状態のノートＰＣ１を隔離する。 Next, the process of step S2 is the "Isolate" process (isolation process), in which the main control unit 10 prohibits connection to the network NW1 (internal company network) and isolates the notebook PC 1 that is in a risk state.

次に、ステップＳ３の処理は、“Ｈｅａｌ”の処理（回復処理）であり、メイン制御部１０は、例えば、専用ポータブルＯＳで起動して、ＯＳの最新パッチプログラムを適用するＯＳの更新処理を実行して、回復させる。 Next, the process in step S3 is a "Heal" process (recovery process), in which the main control unit 10, for example, starts up a dedicated portable OS and executes an OS update process to apply the latest patch program for the OS, thereby recovering the system.

次に、ステップＳ４の処理は、“Ｒｅｓｔｏｒｅ”の処理（復元処理）であり、メイン制御部１０は、ノートＰＣ１を、例えば、リスク状態から通常の状態に、復元（復旧）させる。 Next, the process of step S4 is a "Restore" process (restoration process), in which the main control unit 10 restores (recovers) the notebook PC 1, for example, from a risky state to a normal state.

次に、図４を参照して、本実施形態によるノートＰＣ１の起動処理について説明する。
図４は、本実施形態によるノートＰＣ１の起動処理の一例を示すフローチャートである。 Next, the start-up process of the notebook PC 1 according to this embodiment will be described with reference to FIG.
FIG. 4 is a flowchart showing an example of a startup process of the notebook PC 1 according to this embodiment.

図４に示すように、ノートＰＣ１のメイン制御部１０は、まず、前回のＯＳ起動日時情報を取得する（ステップＳ１０１）。メイン制御部１０のＢＩＯＳ処理部１０１は、ＯＳ起動日時記憶部４２から、前回のＯＳ起動日時情報を取得する。 As shown in FIG. 4, the main control unit 10 of the notebook PC 1 first acquires the previous OS boot date and time information (step S101). The BIOS processing unit 101 of the main control unit 10 acquires the previous OS boot date and time information from the OS boot date and time storage unit 42.

次に、ＢＩＯＳ処理部１０１は、前回のＯＳ起動から所定の期間以上（例えば、３カ月以上）空いているか否かを判定する（ステップＳ１０２）。ＢＩＯＳ処理部１０１は、前回のＯＳ起動日時情報と、現在の日時情報とに基づいて、前回のＯＳ起動からの経過期間を算出し、当該経過期間が、３カ月以上であるか否かを判定する。ＢＩＯＳ処理部１０１は、前回のＯＳ起動から所定の期間以上（例えば、３カ月以上）空いている場合（ステップＳ１０２：ＹＥＳ）に、処理をステップＳ１０５に進める。また、ＢＩＯＳ処理部１０１は、前回のＯＳ起動から所定の期間以上（例えば、３カ月以上）空いていない場合（ステップＳ１０２：ＮＯ）に、処理をステップＳ１０３に進める。 Next, the BIOS processing unit 101 determines whether or not a predetermined period of time (e.g., three months or more) has elapsed since the previous OS startup (step S102). The BIOS processing unit 101 calculates the period of time that has elapsed since the previous OS startup based on the previous OS startup date and time information and the current date and time information, and determines whether or not the period of time is three months or more. If the predetermined period of time (e.g., three months or more) has elapsed since the previous OS startup (step S102: YES), the BIOS processing unit 101 advances the process to step S105. If the predetermined period of time (e.g., three months or more) has not elapsed since the previous OS startup (step S102: NO), the BIOS processing unit 101 advances the process to step S103.

ステップＳ１０３において、ＢＩＯＳ処理部１０１は、開封検知センサ部３４１の作動が検出されたか否かを判定する。すなわち、ＢＩＯＳ処理部１０１は、開封検知センサ部３４１の作動が検出されたか否かにより、ノートＰＣ１の筐体が開封されたか否かを判定する。ＢＩＯＳ処理部１０１は、開封検知センサ部３４１の作動が検出された（筐体が開封された）場合（ステップＳ１０３：ＹＥＳ）に、処理をステップＳ１０５に進める。また、ＢＩＯＳ処理部１０１は、開封検知センサ部３４１の作動が検出されていない（筐体が開封されていない）場合（ステップＳ１０３：ＮＯ）に、処理をステップＳ１０４に進める。 In step S103, the BIOS processing unit 101 determines whether or not the operation of the opening detection sensor unit 341 has been detected. That is, the BIOS processing unit 101 determines whether or not the housing of the notebook PC 1 has been opened, based on whether or not the operation of the opening detection sensor unit 341 has been detected. If the operation of the opening detection sensor unit 341 has been detected (the housing has been opened) (step S103: YES), the BIOS processing unit 101 advances the process to step S105. If the operation of the opening detection sensor unit 341 has not been detected (the housing has not been opened) (step S103: NO), the BIOS processing unit 101 advances the process to step S104.

ステップＳ１０４において、ＢＩＯＳ処理部１０１は、ＳＳＤ２３が載せ替えられているか否かを判定する。すなわち、ＢＩＯＳ処理部１０１は、ＢＩＯＳにより、ＳＳＤ２３を検出することで、ＳＳＤ２３のデバイス情報（パラメータ）が変更になっているか否かを判定する。ＢＩＯＳ処理部１０１は、ＳＳＤ２３が載せ替えられている場合（ステップＳ１０４：ＹＥＳ）に、処理をステップＳ１０５に進める。また、ＢＩＯＳ処理部１０１は、ＳＳＤ２３が載せ替えられていない場合（ステップＳ１０４：ＮＯ）に、処理をステップＳ１０６に進める。 In step S104, the BIOS processing unit 101 determines whether the SSD 23 has been replaced. That is, the BIOS processing unit 101 detects the SSD 23 by the BIOS, and determines whether the device information (parameters) of the SSD 23 has been changed. If the SSD 23 has been replaced (step S104: YES), the BIOS processing unit 101 advances the process to step S105. If the SSD 23 has not been replaced (step S104: NO), the BIOS processing unit 101 advances the process to step S106.

ステップＳ１０５において、ＢＩＯＳ処理部１０１は、リスク状態記憶部４１に、リスク状態を示す情報を記憶させる。ＢＩＯＳ処理部１０１は、例えば、上述したケース（１）、ケース（３）、ケース（４）のそれぞれに応じたリスク状態を示す情報（リスク情報）を、リスク状態記憶部４１に記憶させる。ステップＳ１０５の処理後に、ＢＩＯＳ処理部１０１は、処理をステップＳ１０６に進める。 In step S105, the BIOS processing unit 101 stores information indicating the risk state in the risk state storage unit 41. The BIOS processing unit 101 stores information (risk information) indicating the risk state corresponding to each of the above-mentioned cases (1), (3), and (4), for example, in the risk state storage unit 41. After processing in step S105, the BIOS processing unit 101 advances the processing to step S106.

ステップＳ１０６において、ＢＩＯＳ処理部１０１は、リスク情報が、リスク状態を示す情報であるか否かを判定する。ＢＩＯＳ処理部１０１は、リスク状態記憶部４１からリスク情報を取得し、当該リスク情報がリスク状態を示す情報（例えば、“０１”～“０４”のいずれか）であるか否かを判定する。ＢＩＯＳ処理部１０１は、リスク情報が、リスク状態を示す情報である場合（ステップＳ１０６：ＹＥＳ）に、処理をステップＳ１０７に進める。また、ＢＩＯＳ処理部１０１は、リスク情報が、リスク状態を示す情報でない（リスク情報が、例えば、“００”である）場合（ステップＳ１０６：ＮＯ）に、処理をステップＳ１０８に進める。 In step S106, the BIOS processing unit 101 determines whether the risk information is information indicating a risk state. The BIOS processing unit 101 obtains risk information from the risk state storage unit 41, and determines whether the risk information is information indicating a risk state (for example, any of "01" to "04"). If the risk information is information indicating a risk state (step S106: YES), the BIOS processing unit 101 proceeds to step S107. If the risk information is not information indicating a risk state (the risk information is, for example, "00") (step S106: NO), the BIOS processing unit 101 proceeds to step S108.

ステップＳ１０７において、ＢＩＯＳ処理部１０１は、専用のローカルＯＳ（専用ポータブルＯＳ）起動を実行する。ＢＩＯＳ処理部１０１は、ＨＴＴＰｓブート又はＳＳＤ２３の安全なシステム領域のパーティションから専用ポータブルＯＳ（例えば、ＷｉｎｄｏｗｓＰＥ（Ｗｉｎｄｏｗｓは、登録商標））のプログラムを取得して、専用ポータブルＯＳを起動させる。 In step S107, the BIOS processing unit 101 executes the startup of a dedicated local OS (dedicated portable OS). The BIOS processing unit 101 obtains a program for the dedicated portable OS (for example, Windows PE (Windows is a registered trademark)) from an HTTPs boot or a partition in a secure system area of the SSD 23, and starts the dedicated portable OS.

ステップＳ１０８において、ＢＩＯＳ処理部１０１は、通常のＯＳ起動を実行する。ＢＩＯＳ処理部１０１は、ＳＳＤ２３からＯＳ（例えば、Ｗｉｎｄｏｗｓ（登録商標））のプログラムを取得して、ＯＳを起動させる。 In step S108, the BIOS processing unit 101 executes normal OS startup. The BIOS processing unit 101 obtains an OS (e.g., Windows (registered trademark)) program from the SSD 23 and starts the OS.

次に、図５を参照して、ノートＰＣ１のマルウェアの検出処理について説明する。
図５は、本実施形態によるノートＰＣ１のマルウェアの検出処理の一例を示すフローチャートである。 Next, a malware detection process of the notebook PC 1 will be described with reference to FIG.
FIG. 5 is a flowchart showing an example of a malware detection process of the notebook PC 1 according to this embodiment.

図５に示すように、ノートＯＣ１のメイン制御部１０は、ＯＳにマルウェアの感染を検出したか否かを判定する（ステップＳ２０１）。メイン制御部１０のＯＳ処理部１０２は、例えば、ＥＰＰやＥＤＲなどのプログラムを実行させることで、ＯＳにマルウェアの感染を検出したか否かを判定する。ＯＳ処理部１０２は、ＯＳにマルウェアの感染を検出した場合（ステップＳ２０１：ＹＥＳ）に、処理をステップＳ２０２に進める。また、ＯＳ処理部１０２は、ＯＳにマルウェアの感染を検出していない場合（ステップＳ２０１：ＮＯ）に、処理をステップＳ２０１に戻す。 As shown in FIG. 5, the main control unit 10 of the notebook OC1 determines whether or not malware infection has been detected in the OS (step S201). The OS processing unit 102 of the main control unit 10 determines whether or not malware infection has been detected in the OS by executing a program such as EPP or EDR, for example. If the OS processing unit 102 detects malware infection in the OS (step S201: YES), the process proceeds to step S202. If the OS processing unit 102 does not detect malware infection in the OS (step S201: NO), the process returns to step S201.

ステップＳ２０２において、ＯＳ処理部１０２は、リスク状態記憶部４１に、リスク状態を示す情報（例えば、ケース（２）に対応した“０２”）を記憶させる。ＯＳ処理部１０２は、ＢＩＯＳ処理部１０１を介して、リスク状態記憶部４１に、リスク状態を示す情報を記憶させる。 In step S202, the OS processing unit 102 stores information indicating the risk state (for example, "02" corresponding to case (2)) in the risk state storage unit 41. The OS processing unit 102 stores the information indicating the risk state in the risk state storage unit 41 via the BIOS processing unit 101.

次に、図６を参照して、本実施形態によるノートＰＣ１の回復処理について説明する。
図６は、本実施形態によるノートＰＣ１の回復処理の一例を示すフローチャートである。なお、図６に示す回復処理は、上述した図４におけるステップＳ１０７の処理後の処理である。 Next, the recovery process of the notebook PC 1 according to this embodiment will be described with reference to FIG.
6 is a flow chart showing an example of recovery processing of the notebook PC 1 according to this embodiment. Note that the recovery processing shown in FIG. 6 is processing after the processing of step S107 in FIG.

図６に示すように、ノートＰＣ１のメイン制御部１０は、まず、社内ネットワーク（ネットワークＮＷ２）への接続を制限する（ステップＳ３０１）。メイン制御部１０のローカルＯＳ処理部１０３は、例えば、社内ネットワーク（ネットワークＮＷ２）への接続を禁止する。なお、ステップＳ３０１の処理は、上述したステップＳ２の隔離処理に対応する。 As shown in FIG. 6, the main control unit 10 of the notebook PC 1 first restricts connection to the in-house network (network NW2) (step S301). The local OS processing unit 103 of the main control unit 10, for example, prohibits connection to the in-house network (network NW2). Note that the processing of step S301 corresponds to the isolation processing of step S2 described above.

次に、ローカルＯＳ処理部１０３は、開封検知センサ部３４１の動作が検出されたか否かを判定する（ステップＳ３０２）。ローカルＯＳ処理部１０３は、リスク状態記憶部４１が記憶するリスク情報が、ケース（３）に対応した情報（“０３”）であるか否かにより、開封検知センサ部３４１の動作が検出されたか否かを判定する。ローカルＯＳ処理部１０３は、開封検知センサ部３４１の動作が検出された（リスク情報が、ケース（３）に対応した情報（“０３”）である）場合（ステップＳ３０２：ＹＥＳ）に、処理をステップＳ３０４に進める。また、ローカルＯＳ処理部１０３は、開封検知センサ部３４１の動作が検出されていない（リスク情報が、ケース（３）に対応した情報（“０３”）でない）場合（ステップＳ３０２：ＮＯ）に、処理をステップＳ３０３に進める。 Next, the local OS processing unit 103 determines whether the operation of the opening detection sensor unit 341 has been detected (step S302). The local OS processing unit 103 determines whether the operation of the opening detection sensor unit 341 has been detected based on whether the risk information stored in the risk state storage unit 41 is information ("03") corresponding to case (3). If the operation of the opening detection sensor unit 341 has been detected (the risk information is information ("03") corresponding to case (3)) (step S302: YES), the local OS processing unit 103 advances the process to step S304. If the operation of the opening detection sensor unit 341 has not been detected (the risk information is not information ("03") corresponding to case (3)) (step S302: NO), the local OS processing unit 103 advances the process to step S303.

ステップＳ３０３において、ローカルＯＳ処理部１０３は、ＳＳＤ２３が載せ替えられているか否かを判定する。ローカルＯＳ処理部１０３は、リスク状態記憶部４１が記憶するリスク情報が、ケース（４）に対応した情報（“０４”）であるか否かにより、ＳＳＤ２３が載せ替えられているか否かを判定する。ローカルＯＳ処理部１０３は、ＳＳＤ２３が載せ替えられている（リスク情報が、ケース（４）に対応した情報（“０４”）である）場合（ステップＳ３０３：ＹＥＳ）に、処理をステップＳ３０４に進める。また、ローカルＯＳ処理部１０３は、ＳＳＤ２３が載せ替えられていない（リスク情報が、ケース（４）に対応した情報（“０４”）でない）場合（ステップＳ３０３：ＮＯ）に、処理をステップＳ３０５に進める。 In step S303, the local OS processing unit 103 determines whether the SSD 23 has been replaced. The local OS processing unit 103 determines whether the SSD 23 has been replaced based on whether the risk information stored in the risk state storage unit 41 is information ("04") corresponding to case (4). If the SSD 23 has been replaced (the risk information is information ("04") corresponding to case (4)) (step S303: YES), the local OS processing unit 103 proceeds to step S304. If the SSD 23 has not been replaced (the risk information is not information ("04") corresponding to case (4)) (step S303: NO), the local OS processing unit 103 proceeds to step S305.

ステップＳ３０４において、ローカルＯＳ処理部１０３は、ノートＰＣ１がリスク状態であることを示す情報（例えば、筐体が開封されたことを示す情報、載せ替えられた部品情報（例えば、ＳＳＤ２３など））をセキュリティ管理者に通知する。ローカルＯＳ処理部１０３は、例えば、ＮＷ通信部２５０及びネットワークＮＷ１を介して、社内管理サーバ３に対して、リスク状態であることを示す情報を通知する。ステップＳ３０４の処理後に、ローカルＯＳ処理部１０３は、処理を終了する。 In step S304, the local OS processing unit 103 notifies the security administrator of information indicating that the notebook PC 1 is in a risk state (e.g., information indicating that the case has been opened, information on replaced parts (e.g., SSD 23, etc.)). The local OS processing unit 103 notifies the in-house management server 3 of the information indicating the risk state, for example, via the NW communication unit 250 and the network NW1. After processing in step S304, the local OS processing unit 103 terminates the processing.

ステップＳ３０５において、ローカルＯＳ処理部１０３は、ＯＳを最新版に更新する。ローカルＯＳ処理部１０３は、例えば、“ｄｉｓｍ．ｅｘｅ”のプリグラムを実行させて、ＯＳの最新パッチプログラムをインストールする処理を実行する。ローカルＯＳ処理部１０３は、“ｄｉｓｍ．ｅｘｅ”の実行により、ＯＳの最新パッチプログラムをインストールする環境を整えた上で、ノートＰＣ１を再起動させて、最新パッチプログラムをＳＳＤ２３にインストールさせる。 In step S305, the local OS processing unit 103 updates the OS to the latest version. For example, the local OS processing unit 103 executes the "dism.exe" program to execute a process to install the latest patch program for the OS. After preparing an environment for installing the latest patch program for the OS by executing "dism.exe", the local OS processing unit 103 restarts the notebook PC 1 and installs the latest patch program in the SSD 23.

次に、ローカルＯＳ処理部１０３は、リスク状態記憶部４１に、リスク状態でないことを示す情報を記憶させる（ステップＳ３０６）。ローカルＯＳ処理部１０３は、再起動により、最新パッチプログラムのインストールが完了した場合に、ＢＩＯＳ処理部１０１に、リスク状態でないことを示す情報（例えば、“００”）を、リスク状態記憶部４１に記憶させる。 Next, the local OS processing unit 103 stores information indicating that the system is not in a risk state in the risk state storage unit 41 (step S306). When the installation of the latest patch program is completed by rebooting, the local OS processing unit 103 causes the BIOS processing unit 101 to store information indicating that the system is not in a risk state (for example, "00") in the risk state storage unit 41.

次に、ローカルＯＳ処理部１０３は、ノートＰＣ１を再起動させる（ステップＳ３０７）。この場合、メイン制御部１０は、図４に示す起動処理を実行し、通常の状態（リスク状態でない状態）の起動（図４に示すステップＳ１０８の起動状態）に。復旧させる。ステップＳ３０７の処理後に、メイン制御部１０は、処理を終了する。 Next, the local OS processing unit 103 restarts the notebook PC 1 (step S307). In this case, the main control unit 10 executes the startup process shown in FIG. 4, and restores the startup to a normal state (a state that is not at risk) (the startup state of step S108 shown in FIG. 4). After the process of step S307, the main control unit 10 ends the process.

以上説明したように、本実施形態によるノートＰＣ１（情報処理装置）は、リスク状態記憶部４１と、メイン制御部１０（制御部）とを備える。リスク状態記憶部４１は、セキュリティに問題が生じる可能性があることを示すリスク状態を示す情報を記憶する。メイン制御部１０は、ＢＩＯＳ及びＯＳに基づく処理を実行する制御部であって、リスク状態を検出した場合に、ＢＩＯＳに基づく処理により、リスク状態を示す情報を、リスク状態記憶部４１に記憶させる。また、メイン制御部１０は、ＯＳを起動する際に、ＢＩＯＳに基づく処理において、リスク状態記憶部４１がリスク状態を示す情報を記憶する場合に、ＯＳとは異なり、安全が確保されている専用ポータブルＯＳ（専用ＯＳ）を起動するとともに、管理されたローカルネットワークであるネットワークＮＷ２（管理ネットワーク）への接続を制限する。 As described above, the notebook PC 1 (information processing device) according to this embodiment includes a risk state storage unit 41 and a main control unit 10 (control unit). The risk state storage unit 41 stores information indicating a risk state that indicates that a security problem may occur. The main control unit 10 is a control unit that executes processing based on the BIOS and OS, and when a risk state is detected, stores information indicating the risk state in the risk state storage unit 41 by processing based on the BIOS. Furthermore, when starting the OS, if the risk state storage unit 41 stores information indicating a risk state in processing based on the BIOS, the main control unit 10 starts a dedicated portable OS (dedicated OS) that is secured unlike the OS, and restricts connection to the network NW2 (managed network), which is a managed local network.

これにより、本実施形態によるノートＰＣ１（情報処理装置）は、セキュリティに問題が生じる可能性があるリスク状態である場合に、安全が確保されている専用ポータブルＯＳ（専用ＯＳ）を起動するとともに、管理されたローカルネットワークであるネットワークＮＷ２（管理ネットワーク）への接続を制限する。そのため、本実施形態によるノートＰＣ１は、マルウェアの感染を抑制し、セキュリティを向上させることができる。 As a result, when the notebook PC 1 (information processing device) according to this embodiment is in a risky state where security problems may occur, it starts up a dedicated portable OS (dedicated OS) that ensures security, and restricts connection to the network NW2 (management network), which is a managed local network. Therefore, the notebook PC 1 according to this embodiment can suppress malware infection and improve security.

例えば、ＯＳの脆弱性を解消するパッチプログラムがリリースされているのに、パッチプログラムを適用する更新が行われずに長期間対策が取られていない場合など、本実施形態によるノートＰＣ１では、リスク状態として、専用ポータブルＯＳ（専用ＯＳ）を起動するとともに、ネットワークＮＷ２（管理ネットワーク）への接続を適切に制限することができる。よって、本実施形態によるノートＰＣ１は、このような場合であっても、ネットワークＮＷ２（管理ネットワーク）内に、マルウェアを蔓延させてしまう可能性を低減することができる。 For example, in cases where a patch program that resolves a vulnerability in the OS has been released but no updates to apply the patch program have been made and no measures have been taken for a long time, the notebook PC 1 according to this embodiment can treat this as a risk state by starting up a dedicated portable OS (dedicated OS) and appropriately restricting connection to the network NW2 (management network). Therefore, even in such a case, the notebook PC 1 according to this embodiment can reduce the possibility of malware spreading within the network NW2 (management network).

本実施形態によるノートＰＣ１では、セキュリティに問題が生じる可能性があるＯＳを使用せずに、安全が確保されている専用ポータブルＯＳ（専用ＯＳ）を起動するようにするため、安全に、回復及復旧を行うことができる。 In the notebook PC 1 according to this embodiment, a secure dedicated portable OS (dedicated OS) is started up instead of using an OS that may cause security problems, so recovery and restoration can be performed safely.

また、本実施形態では、リスク状態には、ＯＳの起動が、予め設定された期間以上の間隔が空いている場合（ケース（１））が含まれる。メイン制御部１０は、ＯＳを起動する際に、ＢＩＯＳに基づく処理において、ＯＳの起動が、予め設定された期間以上（例えば、３カ月以上）の間隔が空いている場合に、リスク状態を示す情報（例えば、“０１”）を、リスク状態記憶部４１に記憶させるとともに、ＯＳの代わりに、専用ポータブルＯＳ（専用ＯＳ）を起動させる。 In this embodiment, the risk state also includes a case where the OS has not been started for a predetermined period of time or more (case (1)). When starting the OS, in a process based on the BIOS, if the OS has not been started for a predetermined period of time or more (e.g., three months or more), the main control unit 10 stores information indicating a risk state (e.g., "01") in the risk state storage unit 41 and starts a dedicated portable OS (dedicated OS) instead of the OS.

これにより、本実施形態によるノートＰＣ１は、例えば、長期間、起動していないノートＰＣ１を、セキュリティに問題が生じる可能性がある装置（ダークエンドポイント）と判定するため、マルウェアの感染を適切に抑制し、セキュリティを向上させることができる。 As a result, the notebook PC 1 according to this embodiment determines that, for example, a notebook PC 1 that has not been started for a long period of time is a device (dark endpoint) that may pose a security problem, thereby appropriately suppressing malware infection and improving security.

また、本実施形態では、リスク状態には、ＯＳ上で実行されるマルウェアを検出可能なプログラムを実行させた処理において、マルウェアが検出された場合（ケース（２））が含まれる。メイン制御部１０は、マルウェアを検出可能なプログラム（例えば、ＥＰＰ及びＥＤＲなど）の実行において、マルウェアが検出された場合に、ＢＩＯＳに基づく処理によって、リスク状態を示す情報（例えば、“０２”）を、リスク状態記憶部４１に記憶させる。 In this embodiment, the risk state also includes a case where malware is detected during processing of a program capable of detecting malware executed on the OS (case (2)). When malware is detected during execution of a program capable of detecting malware (e.g., EPP and EDR), the main control unit 10 stores information indicating the risk state (e.g., "02") in the risk state storage unit 41 through processing based on the BIOS.

これにより、本実施形態によるノートＰＣ１は、例えば、マルウェアを検出可能なプログラム（例えば、ＥＰＰ及びＥＤＲなど）の実行において、マルウェアが検出された場合に、セキュリティに問題が生じる可能性がある装置と判定するため、マルウェアの感染を適切に抑制し、セキュリティを向上させることができる。 As a result, the notebook PC 1 according to this embodiment, for example, when executing a program capable of detecting malware (such as EPP and EDR), determines that the device is one in which security issues may arise, thereby appropriately suppressing malware infection and improving security.

また、本実施形態では、メイン制御部１０は、専用ポータブルＯＳに基づく処理によって、ＯＳの最新パッチプログラムを適用するＯＳの更新処理を実行する。 In addition, in this embodiment, the main control unit 10 executes an OS update process that applies the latest patch program for the OS through processing based on the dedicated portable OS.

これにより、本実施形態によるノートＰＣ１は、リスク状態にある装置に対して、ＯＳの最新パッチプログラムを自動で適用するため、リスク状態にある装置を、安全な状態に適切に回復することができる。 As a result, the notebook PC 1 according to this embodiment automatically applies the latest OS patch program to devices in a risky state, so that devices in a risky state can be appropriately restored to a safe state.

また、本実施形態では、メイン制御部１０は、ＯＳの更新処理の実行が完了された場合に、ＢＩＯＳに基づく処理において、リスク状態でないことを示す情報（例えば、“００”）を、リスク状態記憶部４１に記憶させる。 In addition, in this embodiment, when the OS update process is completed, the main control unit 10 stores information indicating that the BIOS-based process is not at risk (e.g., "00") in the risk state storage unit 41.

これにより、本実施形態によるノートＰＣ１は、リスク状態を適切に解消して、通常の状態に、安全に復元（復旧）させることができる。 As a result, the notebook PC 1 according to this embodiment can properly resolve the risk state and safely restore (recover) to the normal state.

また、本実施形態では、リスク状態には、自装置を実装している筐体が開封されたことを検出する開封検知センサ（開封検知センサ部３４１）によって、筐体が開封されたことが検出された場合（ケース（３））が含まれる。メイン制御部１０は、ＯＳを起動する際に、ＢＩＯＳに基づく処理において、開封検知センサ部３４１によって、筐体が開封されたことが検出された場合に、リスク状態を示す情報（例えば、“０３”）を、リスク状態記憶部４１に記憶させるとともに、ＯＳの代わりに、専用ポータブルＯＳ（専用ＯＳ）を起動させる。 In this embodiment, the risk state also includes a case where an opening detection sensor (opening detection sensor unit 341) that detects that the housing in which the device is mounted has been opened detects that the housing has been opened (case (3)). When starting the OS, if the opening detection sensor unit 341 detects that the housing has been opened in a process based on the BIOS, the main control unit 10 stores information indicating a risk state (e.g., "03") in the risk state storage unit 41 and starts a dedicated portable OS (dedicated OS) instead of the OS.

これにより、本実施形態によるノートＰＣ１は、例えば、筐体が開封された場合に、セキュリティに問題が生じる可能性がある装置と判定するため、マルウェアの感染を適切に抑制し、セキュリティを向上させることができる。 As a result, the notebook PC 1 according to this embodiment can determine that a device may have security issues if, for example, the case is opened, and can appropriately prevent malware infection and improve security.

また、本実施形態では、リスク状態には、ＯＳのプログラムが記憶されている記憶デバイス（例えば、ＳＳＤ２３）が載せ替えられた場合（ケース（４））が含まれる。メイン制御部１０は、ＯＳを起動する際に、ＢＩＯＳに基づく処理において、記憶デバイス（例えば、ＳＳＤ２３）が載せ替えられたことを検出した場合に、リスク状態を示す情報（例えば、“０４”）を、リスク状態記憶部４１に記憶させるとともに、ＯＳの代わりに、専用ポータブルＯＳ（専用ＯＳ）を起動させる。 In this embodiment, the risk state also includes a case where the storage device (e.g., SSD 23) in which the OS program is stored has been replaced (case (4)). When the main control unit 10 detects in the BIOS-based processing when starting the OS that the storage device (e.g., SSD 23) has been replaced, it stores information indicating the risk state (e.g., "04") in the risk state storage unit 41 and starts a dedicated portable OS (dedicated OS) instead of the OS.

これにより、本実施形態によるノートＰＣ１は、例えば、記憶デバイス（例えば、ＳＳＤ２３）が不正に載せ替えられた場合に、セキュリティに問題が生じる可能性がある装置と判定するため、マルウェアの感染を適切に抑制し、セキュリティを向上させることができる。 As a result, the notebook PC 1 according to this embodiment can appropriately prevent malware infection and improve security by determining that a device that may pose a security problem may be present if, for example, a storage device (e.g., SSD 23) is illegally replaced.

また、本実施形態では、メイン制御部１０は、リスク状態記憶部４１がリスク状態を示す情報を記憶する場合に、リスク状態であることを示す情報（例えば、筐体が開封されたことを示す情報（例えば、“０３”又は“０４”）、載せ替えられた部品情報（例えば、ＳＳＤ２３など））を、セキュリティ管理者に通知する。 In addition, in this embodiment, when the risk state storage unit 41 stores information indicating a risk state, the main control unit 10 notifies the security administrator of information indicating the risk state (for example, information indicating that the housing has been opened (for example, "03" or "04"), information on replaced parts (for example, SSD 23, etc.)).

これにより、本実施形態によるノートＰＣ１は、リスク状態であることを示す情報（例えば、筐体が開封されたことを示す情報（例えば、“０３”又は“０４”）、載せ替えられた部品情報（例えば、ＳＳＤ２３など））を、セキュリティ管理者に通知するため、さらに、セキュリティを向上させることができる。 As a result, the notebook PC 1 according to this embodiment notifies the security administrator of information indicating a risky state (for example, information indicating that the case has been opened (for example, "03" or "04"), information on parts that have been replaced (for example, SSD 23, etc.)), thereby further improving security.

また、本実施形態では、メイン制御部１０は、リスク状態記憶部４１がリスク状態を示す情報（例えば、“０３”又は“０４”）を記憶する場合に、さらに、ＯＳがマルウェアに感染しているか否かの検出処理を実行する。 In addition, in this embodiment, when the risk state storage unit 41 stores information indicating a risk state (e.g., "03" or "04"), the main control unit 10 further executes a detection process to determine whether or not the OS is infected with malware.

これにより、本実施形態によるノートＰＣ１は、セキュリティに問題が生じる可能性がある装置に対して、ＯＳがマルウェアに感染しているか否かの検出処理を実行するため、さらに、セキュリティを向上させることができる。 As a result, the notebook PC 1 according to this embodiment can further improve security by executing a detection process to determine whether the OS of a device that may pose a security problem is infected with malware.

また、本実施形態による制御方法は、セキュリティに問題が生じる可能性があることを示すリスク状態を示す情報を記憶するリスク状態記憶部４１と、ＢＩＯＳ及びＯＳに基づく処理を実行するメイン制御部１０とを備えるノートＰＣ１の制御方法であって、リスク状態検出ステップと、制限ステップとを含む。リスク状態検出ステップにおいて、メイン制御部１０が、リスク状態を検出した場合に、ＢＩＯＳに基づく処理により、リスク状態を示す情報を、リスク状態記憶部４１に記憶させる。制限ステップにおいて、メイン制御部１０が、ＯＳを起動する際に、ＢＩＯＳに基づく処理において、リスク状態記憶部４１がリスク状態を示す情報を記憶する場合に、ＯＳとは異なり、安全が確保されている専用ＯＳを起動するとともに、管理されたローカルネットワークであるネットワークＮＷ２への接続を制限する。 The control method according to this embodiment is a control method for a notebook PC 1 including a risk state storage unit 41 that stores information indicating a risk state indicating that a security problem may occur, and a main control unit 10 that executes processing based on the BIOS and OS, and includes a risk state detection step and a restriction step. In the risk state detection step, if the main control unit 10 detects a risk state, information indicating the risk state is stored in the risk state storage unit 41 by processing based on the BIOS. In the restriction step, when the main control unit 10 starts the OS, if the risk state storage unit 41 stores information indicating a risk state in the processing based on the BIOS, the main control unit 10 starts a dedicated OS that is different from the OS and is secured, and restricts connection to the network NW2, which is a managed local network.

これにより、本実施形態による制御方法は、上述したノートＰＣ１と同様の効果を奏し、マルウェアの感染を抑制し、セキュリティを向上させることができる。 As a result, the control method according to this embodiment has the same effect as the notebook PC 1 described above, and can suppress malware infections and improve security.

なお、本発明は、上記の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で変更可能である。
例えば、上記の実施形態において、情報処理装置がノートＰＣ１である例を説明したが、これに限定されるものではなく、例えば、タブレット端末装置、デスクトップＰＣなどの他の情報処理装置であってもよい。 The present invention is not limited to the above-described embodiment, and can be modified without departing from the spirit of the present invention.
For example, in the above embodiment, the information processing device is the notebook PC 1 by way of example, but is not limited thereto, and may be, for example, another information processing device such as a tablet terminal device or a desktop PC.

また、上記の実施形態において、ノートＰＣ１のＯＳが、Ｗｉｎｄｏｗｓ（登録商標）である例を説明したが、これに限定されるものではなく、例えば、Ａｎｄｒｏｉｄ（登録商標）、ｉＯＳ（登録商標）、等、他のＯＳに適用してもよい。 In the above embodiment, the OS of the notebook PC 1 is described as Windows (registered trademark), but this is not limited to this, and other OSs such as Android (registered trademark), iOS (registered trademark), etc. may also be used.

また、上記の実施形態において、専用のローカルＯＳは、ブートサーバ２又はＳＳＤ２３の安全なシステム領域のパーティションからプログラムを取得して起動する例を説明したが、これに限定されるものではなく、ＢＩＯＳメモリ２２やＲＯＭ、等の改ざん不可能なメモリからプログラムを取得してもよい。 In the above embodiment, an example was described in which the dedicated local OS retrieves and starts a program from a partition in a secure system area of the boot server 2 or the SSD 23, but this is not limited to this, and the program may be retrieved from a memory that cannot be tampered with, such as the BIOS memory 22 or a ROM.

また、上記の実施形態において、情報処理システム１００は、ブートサーバ２と、社内管理サーバ３とを分けて備える例を説明したが、これに限定されるものではなく、ブートサーバ２と、社内管理サーバ３とを１つのサーバ装置で構成してもよい。 In addition, in the above embodiment, an example was described in which the information processing system 100 has a separate boot server 2 and in-house management server 3, but this is not limited to this, and the boot server 2 and in-house management server 3 may be configured as a single server device.

また、上記の実施形態において、ＢＩＯＳ処理部１０１は、前回のＯＳの起動から、例えば、３カ月以上の間隔が空いた場合に、リスク状態であると判定する例を説明したが、これに限定されるものではなく、ＢＩＯＳ処理部１０１は、例えば、１カ月以上や６カ月以上、等、他の期間、間隔が空いた場合にリスク状態であると判定してもよい。 In the above embodiment, the BIOS processing unit 101 determines that the OS is in a risk state when, for example, three months or more have elapsed since the last OS startup. However, this is not limited to this, and the BIOS processing unit 101 may determine that the OS is in a risk state when, for example, another period of time has elapsed, such as one month or more, six months or more, etc.

なお、上述したノートＰＣ１が備える各構成は、内部に、コンピュータシステムを有している。そして、上述したノートＰＣ１が備える各構成の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより上述したノートＰＣ１が備える各構成における処理を行ってもよい。ここで、「記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行する」とは、コンピュータシステムにプログラムをインストールすることを含む。ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。
また、「コンピュータシステム」は、インターネットやＷＡＮ、ＬＡＮ、専用回線等の通信回線を含むネットワークを介して接続された複数のコンピュータ装置を含んでもよい。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ－ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。このように、プログラムを記憶した記録媒体は、ＣＤ－ＲＯＭ等の非一過性の記録媒体であってもよい。 Each of the components of the notebook PC 1 described above has an internal computer system. A program for implementing the functions of each of the components of the notebook PC 1 described above may be recorded on a computer-readable recording medium, and the program recorded on the recording medium may be read into a computer system and executed to perform processing in each of the components of the notebook PC 1 described above. Here, "reading a program recorded on a recording medium into a computer system and executing it" includes installing the program into a computer system. The "computer system" referred to here includes hardware such as an OS and peripheral devices.
Furthermore, a "computer system" may include a plurality of computer devices connected via a network including the Internet or communication lines such as a WAN, LAN, or dedicated line. Furthermore, a "computer-readable recording medium" refers to portable media such as a flexible disk, a magneto-optical disk, a ROM, or a CD-ROM, or a storage device such as a hard disk built into a computer system. In this manner, the recording medium storing the program may be a non-transitory recording medium such as a CD-ROM.

また、記録媒体には、当該プログラムを配信するために配信サーバからアクセス可能な内部又は外部に設けられた記録媒体も含まれる。なお、プログラムを複数に分割し、それぞれ異なるタイミングでダウンロードした後にノートＰＣ１が備える各構成で合体される構成や、分割されたプログラムのそれぞれを配信する配信サーバが異なっていてもよい。さらに「コンピュータ読み取り可能な記録媒体」とは、ネットワークを介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。また、上記プログラムは、上述した機能の一部を実現するためのものであってもよい。さらに、上述した機能をコンピュータシステムに既に記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。 The recording medium also includes an internal or external recording medium accessible from a distribution server to distribute the program. The program may be divided into multiple parts, downloaded at different times, and then combined with each component of the notebook PC 1, or each divided program may be distributed by a different distribution server. Furthermore, the term "computer-readable recording medium" also includes a recording medium that holds a program for a certain period of time, such as a volatile memory (RAM) inside a computer system that becomes a server or client when a program is transmitted over a network. The program may also be a recording medium for implementing part of the above-mentioned functions. Furthermore, the program may be a so-called differential file (differential program) that can realize the above-mentioned functions in combination with a program already recorded in the computer system.

また、上述した機能の一部又は全部を、ＬＳＩ（Large Scale Integration）等の集積回路として実現してもよい。上述した各機能は個別にプロセッサ化してもよいし、一部、又は全部を集積してプロセッサ化してもよい。また、集積回路化の手法はＬＳＩに限らず専用回路、又は汎用プロセッサで実現してもよい。また、半導体技術の進歩によりＬＳＩに代替する集積回路化の技術が出現した場合、当該技術による集積回路を用いてもよい。 In addition, some or all of the above-mentioned functions may be realized as an integrated circuit such as an LSI (Large Scale Integration). Each of the above-mentioned functions may be individually processed, or some or all of the functions may be integrated into a processor. The integrated circuit method is not limited to LSI, and may be realized by a dedicated circuit or a general-purpose processor. Furthermore, if an integrated circuit technology that can replace LSI appears due to advances in semiconductor technology, an integrated circuit based on that technology may be used.

１ノートＰＣ
２ブートサーバ
３社内管理サーバ
１０メイン制御部
１１ＣＰＵ
１２メインメモリ
１３ビデオサブシステム
１４表示部
２１チップセット
２２ＢＩＯＳメモリ
２３ＳＳＤ
２４オーディオシステム
２５ＷＬＡＮカード
２６ＵＳＢコネクタ
３１エンベデッドコントローラ（ＥＣ）
３２入力部
３３電源回路
３４センサ部
４０記憶部
４１リスク状態記憶部
４２ＯＳ起動日時記憶部
１００情報処理システム
１０１ＢＩＯＳ処理部
１０２ＯＳ処理部
１０３ローカルＯＳ処理部
２５０ＮＷ通信部
３４１開封検知センサ部
ＮＷ１、ＮＷ２ネットワーク 1. Notebook PC
2 Boot server 3 In-house management server 10 Main control unit 11 CPU
12 Main memory 13 Video subsystem 14 Display unit 21 Chipset 22 BIOS memory 23 SSD
24 Audio system 25 WLAN card 26 USB connector 31 Embedded controller (EC)
32 Input unit 33 Power supply circuit 34 Sensor unit 40 Storage unit 41 Risk state storage unit 42 OS startup date and time storage unit 100 Information processing system 101 BIOS processing unit 102 OS processing unit 103 Local OS processing unit 250 NW communication unit 341 Opening detection sensor unit NW1, NW2 Network

Claims

a risk state storage unit that stores information indicating a risk state indicating that a security problem may occur;
a control unit that executes processing based on a basic input output system (BIOS) and an operating system (OS), and when the risk state is detected, causes information indicating the risk state to be stored in the risk state storage unit through processing based on the BIOS;
The control unit, when starting the OS, in processing based on the BIOS, if the risk state memory unit stores information indicating the risk state, starts a dedicated OS that is different from the OS and is guaranteed to be secure, and restricts connection to a management network, which is a managed local network.

The risk state includes a case where the OS has not been started for a predetermined period of time or longer,
The information processing device of claim 1, wherein when the control unit starts the OS, if, in processing based on the BIOS, the OS starts after an interval of at least a predetermined period, the control unit stores information indicating the risk state in the risk state memory unit and starts the dedicated OS instead of the OS.

The risk state includes a case where malware is detected in a process in which a program capable of detecting malware is executed on the OS,
The information processing device according to claim 1 , wherein when the malware is detected during execution of a program capable of detecting the malware, the control unit stores information indicating the risk state in the risk state memory unit by processing based on the BIOS.

The information processing apparatus according to claim 1 , wherein the control unit executes an update process of the OS that applies a latest patch program for the OS by a process based on the dedicated OS.

The information processing device according to claim 4 , wherein the control unit, when execution of the OS update process is completed, stores information indicating that the BIOS-based process is not in the risk state in the risk state storage unit.

The risk state includes a case where an opening detection sensor detects that a housing in which the device is mounted has been opened, and the case detects that the housing has been opened,
The information processing device of claim 1, wherein when the control unit starts the OS, if the opening detection sensor detects that the housing has been opened in processing based on the BIOS, the control unit stores information indicating the risk state in the risk state memory unit and starts the dedicated OS instead of the OS.

The risk state includes a case where a storage device in which the OS program is stored is replaced,
2. The information processing device of claim 1, wherein when the control unit detects that a storage device has been replaced in processing based on the BIOS when starting the OS, the control unit stores information indicating the risk state in the risk state memory unit and starts the dedicated OS instead of the OS.

The information processing device according to claim 6 or 7, wherein the control unit, when the risk state storage unit stores information indicating the risk state, notifies a security administrator of the information indicating the risk state.

The information processing device according to claim 8 , wherein the control unit, when the risk state storage unit stores information indicating the risk state, further executes a detection process for detecting whether or not the OS is infected with malware.

A method for controlling an information processing device including a risk state storage unit that stores information indicating a risk state indicating that a security problem may occur, and a control unit that executes processing based on a BIOS (Basic Input Output System) and an OS (Operating System), comprising:
a step of causing the control unit to store information indicating the risk state in the risk state storage unit by processing based on a BIOS when the control unit detects the risk state;
A control method comprising: when the control unit starts the OS, if the risk state memory unit stores information indicating the risk state in processing based on the BIOS, starting a dedicated OS that is different from the OS and whose security is ensured, and restricting connection to a management network, which is a managed local network.