BitLockerの仕組みとTPMが果たす役割
BitLockerが「安全」といわれる理由は、暗号化の方式そのものだけでなく、暗号鍵の預け先にあります。ここでは、ドライブ全体を暗号化する考え方と、TPMというチップが鍵をどう守っているのかを整理します。
ドライブを丸ごと暗号化する考え方
BitLockerは、ファイルを1つずつ暗号化するのではなく、Windowsが入っているOSドライブやデータドライブを丸ごと暗号化します。そのため、利用者が保存した文書だけでなく、一時ファイルやページファイルのように普段は意識しない領域も保護の対象に含まれます。うっかり保存し忘れた場所から情報が漏れる、という事態を避けやすい方式です。
暗号化の方式には、既定でXTS-AESが使われます。Windows 10のバージョン1511以降では、パソコン内蔵の固定ドライブに対してXTS-AESの128ビットが標準で選ばれ、設定によって256ビットに変更することもできます。一方、USBメモリのように持ち運ぶドライブでは、古いバージョンのWindowsでも読み書きできるよう、AES-CBCを使う選択肢が用意されています。
TPMが暗号鍵を預かる流れ
BitLockerの安全性を支えているのが、TPM（Trusted Platform Module）と呼ばれるセキュリティ用のチップです。TPMは、ドライブを復号するための鍵をチップの外に出さない形で預かり、パソコンが想定どおりの状態で起動したときだけ、その鍵をWindowsに渡します。鍵をドライブ上に平文で置かないため、ドライブだけを抜き取って別のパソコンにつないでも中身を読み取れません。
起動のたびに、UEFIファームウェアやブートローダーなど起動に関わる構成が測定され、その値がTPMに記録された状態と一致するかどうかが確認されます。一致すれば、利用者は何も入力しないままWindowsのサインイン画面へ進めます。一致しない場合は鍵が渡されず、代わりに回復キーの入力を求める青い画面が表示されます。この振る舞いが、後述する「急に回復キーを聞かれる」現象の正体です。なお、TPMだけで解除する構成のほかに、起動時のPIN入力を追加で求める構成も選べます。Windows 11はシステム要件としてTPM 2.0を求めているため、対応機種であればTPMを前提に考えて差し支えありません。
使えるエディションの条件とHomeでの扱い
BitLockerは、すべてのWindowsで同じように使えるわけではありません。エディションによって利用できる範囲が異なり、Homeでは名称も設定画面も変わります。購入前や配付前に確認しておきたい条件を整理します。
Pro・Enterprise・Educationで利用できる
BitLockerドライブ暗号化としてフル機能を使えるのは、Windows 11およびWindows 10のPro、Enterprise、Educationの各エディションです。これらでは、コントロールパネルからドライブごとに暗号化の有無を選べるほか、グループポリシーによる細かな制御や、コマンドによる状態確認にも対応します。
業務用のパソコンを選ぶ際は、本体の性能だけでなくエディションを必ず確認してください。個人向けモデルにはHomeが搭載されていることがあり、あとからProへアップグレードするには追加のライセンス費用がかかります。台数がまとまるほど差は大きくなるため、暗号化を前提にするなら調達の段階でProを指定するほうが結果的に手間も費用も抑えられます。
Homeで使える「デバイスの暗号化」との違い
Home エディションには、BitLockerドライブ暗号化の管理画面はありませんが、条件を満たした機種では「デバイスの暗号化」という機能が用意されています。これは内部的にBitLockerと同じ仕組みを使いながら、設定項目を絞って自動的に動くようにしたものです。設定アプリのプライバシーとセキュリティの項目から、有効かどうかを確認できます。
ただし、デバイスの暗号化はドライブを個別に選んだり、暗号化の強度を変えたりといった調整ができません。また、機能が動作するにはハードウェア側の要件を満たす必要があり、すべての機種で使えるわけではありません。ただし、Windows 11のバージョン24H2では要件の一部が見直され、対象となる機種は広がっています。細かな制御や集中管理を求める場合は、Pro以上のエディションを選ぶことになります。
有効にする手順と、解除・一時停止の使い分け
BitLockerの操作でつまずきやすいのは、「無効にする」と「一時的に止める」の違いです。ここでは有効化の流れをたどりながら、作業時に選ぶべき操作を確認します。
暗号化を有効にするまでの流れ
Pro以上のエディションでは、コントロールパネルのBitLockerドライブ暗号化を開き、対象のドライブで有効化を選びます。最初に求められるのが回復キーの保存方法で、Microsoftアカウントへの保存、ファイルとして保存、印刷などから選びます。ここを適当に進めてしまうと、後から保管場所がわからなくなります。
次に、暗号化する範囲を「使用済み領域のみ」と「ドライブ全体」から選びます。新品のパソコンなら前者で短時間に済みますが、すでに使っていた端末では、削除済みデータが残る領域まで守るためにドライブ全体を選ぶほうが安全です。暗号化はバックグラウンドで進み、その間もパソコンは通常どおり使えます。
無効化（復号）と保護の中断の違い
BitLockerを無効にすると、ドライブ全体が復号され、暗号化されていない状態に戻ります。容量によっては完了まで時間がかかり、その間は保護がない状態が続きます。暗号化をやめる明確な理由がある場合を除き、安易に選ぶ操作ではありません。
一方、UEFIやBIOSの更新、ハードウェアの交換といった作業の前に必要なのは、無効化ではなく「保護の中断」です。中断はデータを復号せず、鍵の扱いを一時的に緩めるだけなので、作業後に再開すればすぐ元の状態へ戻せます。中断せずにファームウェアを更新すると、起動構成の変化を検知して回復キーを求められることがあるため、作業手順にこの操作を組み込んでおくと安心です。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）で暗号化の一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
回復キーの保管先と、紛失した場合に起こること
BitLockerで最も相談が多いのが回復キーです。どのような値で、どこに保存され、失うと何が起きるのかを知っておけば、いざというときに慌てずに済みます。
回復キーとはどのようなものか
回復キーは、48桁の数字を6桁ずつ区切って表記したものです。TPMによる自動解除ができなくなったとき、この数字を入力することでドライブのロックを解除します。画面には回復キーIDという識別子も表示され、保管してある複数のキーの中から該当するものを探す手がかりになります。
回復キーはパスワードのように自分で決める値ではなく、暗号化を有効にした時点で自動的に生成されます。そのため、記憶に頼ることはできず、必ずどこかに保存しておく必要があります。逆にいえば、保存先さえ押さえておけば、トラブルの大半はその場で解決できます。まずは自分の端末の回復キーがどこにあるのかを、平常時に確認しておいてください。
保管先として選べる場所
個人利用では、Microsoftアカウントへの保存がよく使われます。サインインしているアカウントに紐づけて保存され、別の端末やスマートフォンからブラウザで参照できます。ほかに、テキストファイルとして保存する方法や、紙に印刷して金庫などに保管する方法もあります。
ファイルとして保存する場合、暗号化した当のドライブに置いてしまうと、いざというときに開けません。別の端末やクラウドストレージなど、対象の端末とは切り離された場所を選んでください。法人では、Microsoft Entra IDやActive Directoryに自動で預ける構成が使われ、管理者が必要なときに取り出せる状態を保ちます。
回復キーを求められる場面と、失ったときの結末
回復キーの入力を求められる典型的な場面は、UEFIやBIOSの更新、セキュアブートなど起動に関わる設定の変更、マザーボードの交換、ドライブを別のパソコンへ移した場合などです。いずれもTPMが記録した起動構成と実際の状態がずれたときに起こるもので、故障とは限りません。
問題は、回復キーがどこにも残っていない場合です。マイクロソフトは、失われた回復キーを取得したり再作成したりすることはできないと案内しています。ロックを解除できないままであれば端末を初期化するしかなく、保存していたファイルは失われます。だからこそ、暗号化を有効にする作業と、回復キーの保管を確認する作業は必ずひと続きで行ってください。
法人でBitLockerを運用するときの注意点
数十台、数百台の端末でBitLockerを使うとなると、個人利用とは考え方が変わります。鍵をどこに集め、誰が取り出せるようにするかを、あらかじめ設計しておく必要があります。
回復キーを集中管理する仕組みを先に用意する
法人利用で最初に決めるべきは、回復キーの預け先です。利用者任せにすると、退職や異動の際に取り出せなくなり、端末ごと使えなくなる恐れがあります。Microsoft Entra IDやActive Directoryへ自動的に預ける構成にしておけば、情報システム部門が必要なときに参照できます。
Microsoft Intuneなどの管理ツールを使えば、暗号化の有効化から回復キーの回収までをポリシーとして配布でき、端末が増えても手順が崩れません。また、誰がいつ回復キーを参照したかの記録が残る仕組みを選んでおくと、内部不正の抑止にもつながります。あわせて、キーを渡す際の本人確認の手順も文書化しておきましょう。
故障・廃棄・退職時の手順を決めておく
暗号化された端末は、故障時の対応も変わります。ドライブが物理的に生きていても、鍵がなければ修理業者はデータを取り出せません。回復キーを渡すべきかどうか、渡す場合の条件は何かを、あらかじめ社内で決めておく必要があります。
廃棄の場面では、暗号化が有効だったことが利点になります。鍵を確実に破棄すれば、ドライブ上のデータは読めない状態になるため、物理破壊と組み合わせて安全性を高められます。退職時は、端末の回収と同時に回復キーの権限を見直し、元利用者が個人のMicrosoftアカウント側にキーを残していないかも確認してください。
「自社に合う暗号化を診断してみたい」、「どんな観点で選べばいいかわからない」という方向けの診断ページもあります。
ITトレンドで過去資料を請求した方の、リアルなお悩みや要望から作成した簡単な質問に答えるだけで、最適な製品・サービスをご案内します。
無料で今すぐ利用できますので、下のリンクから診断を開始してください。
端末の外に残るデータと鍵の管理を補う製品
BitLockerが守るのは、その端末のドライブに保存されたデータです。ここでは、サーバーやデータベースに残る情報の暗号化と、複数の端末にまたがる鍵の集中管理という2つの観点から製品を紹介します。
D.AMO DP
- 既存データベースに後付けでクエリー変更せずに導入可能
- 選択的暗号化を実現しデータベースの機密性と可用性を両立
- 暗号化＋アクセス制御＋監査ログのAll-In-Oneパッケージで提供
ペンタセキュリティ株式会社が提供する「D.AMO DP」は、データベースの暗号化に対応した製品です。Oracle DatabaseやMicrosoft SQL Serverを対象に、アプリケーション側のクエリを書き換えずに追加できるアドオン方式を採用しています。列単位で対象を選んで暗号化できるため、守るべき項目に絞った適用が可能です。暗号化に加えて、アクセス制御と監査ログを同じパッケージで扱える点も特徴です。データベース管理者とセキュリティ管理者の権限を分けた運用にも対応します。
SophosEncryption （ソフォス株式会社）
- OS標準暗号化を活用しCentralで鍵管理と復旧を簡素化。
- 暗号化のまま編集・共有でき業務を止めない設計。
- 複数端末とOSの暗号化を可視化し統制・規制対応。
WinMagicSecureDoc （ウィンマジック・ジャパン株式会社）
- マルチデバイスを単一コンソールで管理可能。
- リムーバブルメディアも暗号化対応。
- PBConnex™で認証前のデバイス起動・データアクセスを制限。
まとめ
BitLockerは、Windowsのドライブを丸ごと暗号化し、TPMと連携して鍵を守る機能です。フル機能を使えるのはPro、Enterprise、Educationで、Homeでは条件を満たす機種で「デバイスの暗号化」として動きます。作業前は無効化ではなく保護の中断を選び、回復キーは端末とは別の場所に保管してください。回復キーを失うとデータは取り出せません。法人では、鍵の集中管理と利用者への周知まで含めて設計することが、安全に使い続けるポイントです。
