--- title: "セキュアブートとは？UEFIとデジタル署名で安全に起動する仕組み【基本情報技術者試験】" description: "セキュアブートを、UEFIがOS・ブートローダ・ドライバなどのデジタル署名を起動時に検証する仕組みとして整理し、BIOSパスワード、HDDパスワード、マルウェア対策ソフトとの違いをFE科目A向けに解説します。" last_modified_at: "2026-07-23" canonical_url: "https://stemtazoo.github.io/fe/secure-boot/" section: "fe" --- ## まず結論 **セキュアブート**とは、PCの起動時に、OS、ブートローダ、ドライバなどの**デジタル署名を検証し、信頼できないプログラムを実行させない仕組み**です。 基本情報技術者試験では、次の3点を見つければセキュアブートと判断できます。 ```text 起動時 ＋ デジタル署名を検証 ＋ 信頼できないプログラムを実行しない ``` 一方、次の説明は別の仕組みです。 | 問題文の表現 | 該当する仕組み | |---|---| | BIOSにパスワードを設定する | BIOSパスワード | | HDDやSSDにパスワードを設定する | HDDパスワード | | OS起動後に自動スキャンする | マルウェア対策ソフト | | 起動プログラムの署名を検証する | セキュアブート | ## 直感的な説明 セキュアブートは、PCの電源を入れた直後に行う**入場チェック**のようなものです。 ```text PCの電源を入れる ↓ 起動に使うプログラムを確認する ↓ デジタル署名を検証する ↓ 信頼できれば実行する 信頼できなければ実行しない ``` 人にパスワードを入力させるのではなく、**起動しようとしているプログラムそのものが信頼できるか**を確認します。 このタイミングが重要です。 ```text セキュアブート → OSが完全に起動する前 マルウェア対策ソフト → 主にOSが起動した後 ``` ## 定義・仕組み セキュアブートは、UEFI（Unified Extensible Firmware Interface）が提供する起動時のセキュリティ機能です。 PCが起動するときには、OS本体だけでなく、ブートローダやドライバなど、複数のプログラムが順番に読み込まれます。 この途中に不正なプログラムが入り込むと、OSより先にマルウェアが動き始める可能性があります。 セキュアブートでは、起動対象のプログラムに付けられたデジタル署名を確認します。 ```text 署名が信頼できる → 起動を続ける 署名がない・信頼できない・改ざんされている → 実行させない ``` ここで確認しているのは、主に次の点です。 - プログラムが改ざんされていないか - 信頼された発行元によるものか - 起動を許可してよいプログラムか Microsoft Learnでは、Secure Bootを、デバイスがメーカーから信頼されたソフトウェアだけで起動することを支援するセキュリティ標準として説明しています。 参考： [Microsoft Learn：Secure Boot](https://learn.microsoft.com/en-us/windows-hardware/design/device-experiences/oem-secure-boot) 公式の出題範囲やシラバスは、[IPA：基本情報技術者試験](https://www.ipa.go.jp/shiken/kubun/fe.html)から確認できます。 ### デジタル署名と暗号化の違い セキュアブートは、デジタル署名を使いますが、起動ファイルを読めない状態にする仕組みではありません。 ```text 暗号化 → 内容を読めないようにする デジタル署名 → 改ざんされていないか、誰が作成したかを確認する ``` 試験では、「署名があるから暗号化している」という説明を選ばないようにします。 ## 科目Aでどう出る？ 科目Aでは、複数の起動時セキュリティ対策から、セキュアブートの説明を選ぶ問題が出題されます。 ### 選択肢を切る判断手順 ```text 1. いつ確認するか 2. 何を確認するか 3. どのような方法を使うか ``` 具体的には、次のように整理します。 | 判断項目 | セキュアブート | |---|---| | タイミング | OS起動前・起動中 | | 確認対象 | OS、ブートローダ、ドライバなど | | 確認方法 | デジタル署名の検証 | | 防ぐもの | 信頼できない起動プログラムの実行 | ### 典型的な選択肢 | 選択肢の表現 | 判断 | |---|---| | BIOSにパスワードを設定する | BIOSパスワードなので誤り | | HDDにパスワードを設定する | HDDパスワードなので誤り | | 起動時にOSやドライバの署名を検証する | セキュアブートなので正しい | | OS起動後にマルウェアスキャンする | マルウェア対策ソフトなので誤り | | 起動ファイルを暗号化する | 署名検証とは別なので誤り | ### 「起動前のマルウェア」が判断ワードになる ブートキットやルートキットのように、OSより前の段階で実行されようとするマルウェアへの対策として説明される場合があります。 ```text OSより前に動こうとする ＋ 起動時に署名を検証する → セキュアブート ``` ただし、セキュアブートだけですべてのマルウェアを防げるわけではありません。 OS起動後に実行されるマルウェア、フィッシング、脆弱性を悪用する攻撃などには、別の対策も必要です。 ## どんな場面で使う？ セキュアブートは、PCやサーバーを安全に起動させたい場面で使われます。 例えば、次のようなリスクを減らすために使われます。 - 起動領域の改ざん - 不正なブートローダの実行 - 信頼できないドライバの読み込み - OS起動前に動作するマルウェア FE試験では、セキュアブートを単独のマルウェア対策として覚えるより、**コンピュータの起動プロセスの信頼性を確認する仕組み**として理解すると判断しやすくなります。 セキュリティ対策としての切り分けを詳しく確認したい場合は、[SG試験：セキュアブートとは？](https://stemtazoo.github.io/sg/secure-boot/)も参考になります。 ## よくある誤解・混同 ### BIOSパスワードとの違い BIOSパスワードは、PCを起動する人やBIOS設定を変更する人に、パスワード入力を求めます。 ```text BIOSパスワード → 人を確認する セキュアブート → 起動プログラムを確認する ``` どちらも起動時に関係しますが、確認対象が異なります。 ### HDDパスワードとの違い HDDパスワードは、HDDやSSDへのアクセスを制限する仕組みです。 ```text HDDパスワード → ストレージを利用できるか確認する セキュアブート → 起動プログラムを実行してよいか確認する ``` ストレージへのアクセス制御と、起動プログラムの署名検証を混同しないようにします。 ### マルウェア対策ソフトとの違い マルウェア対策ソフトは、主にOS起動後にファイルや実行中のプログラムを検査します。 一方、セキュアブートは、OSが完全に動き出す前に起動プログラムを確認します。 ```text 起動前・署名検証 → セキュアブート 起動後・スキャン → マルウェア対策ソフト ``` ### セキュアブートで全てのマルウェアを防げる 誤りです。 セキュアブートが対象とするのは、主に起動時に読み込まれるプログラムです。 OS起動後に侵入・実行されるマルウェアまで、すべて防止する仕組みではありません。 ### 署名検証は暗号化である 誤りです。 セキュアブートは、プログラムの内容を秘密にするのではなく、**改ざんや発行元を確認する**ためにデジタル署名を使います。 ## まとめ（試験直前用） - セキュアブートは、OS起動前・起動中に起動プログラムを確認する - OS、ブートローダ、ドライバなどのデジタル署名を検証する - 信頼できないプログラムは実行させない - BIOSパスワードは人を確認する仕組み - HDDパスワードはストレージへのアクセスを制限する仕組み - マルウェア対策ソフトは主にOS起動後に検査する - デジタル署名は暗号化ではなく、改ざんや発行元を確認する - 「すべてのマルウェアを防ぐ」は言いすぎなので注意する 試験中は、次の3語を思い出します。 ```text 起動時 署名検証 信頼できないものを実行しない ```