- BitLocker はディスク全体を暗号化し、TPM とセキュア ブートによってブートの整合性を強化します。
- 要件: Pro/Enterprise/Education エディション、TPM 1.2 以上、適切なパーティション、互換性のある UEFI/BIOS ファームウェア。
- デバイス暗号化との違い: 自動アクティベーション、HSTI/モダン スタンバイの要件、Entra ID/AD へのキーのコピー。
- AD、GPO、MDM、およびエンタープライズ セキュリティ スイートとの統合による大規模な管理と回復。
ノートパソコンやデスクトップパソコンで機密データを扱う場合、暗号化はもはや選択肢ではなく、必須事項です。BitLockerは、ハードドライブを暗号化し、紛失、盗難、コンピュータの持ち出しから情報を保護するための、マイクロソフト独自のソリューションです。単なるロック機能にとどまらず、システム起動プロセスやハードウェアに接続することで、たとえ別のコンピュータからドライブを読み取ろうとしても、不正アクセスを防止します。
近年、リモートワーク、モバイルワーク、外部デバイスの使用が増加しています。これにより、デバイスの紛失や盗難が発生した場合にデータ漏洩のリスクが高まります。BitLockerは、ボリューム全体をAESで暗号化し、TPMチップ、企業ポリシー、Active Directory、Microsoftクラウドサービスと統合することで、回復キーを保護し、一元的に制御を適用することで、このリスクに対処します。
BitLocker とは何ですか? また、どのような問題を解決しますか?
BitLockerは、Windowsに組み込まれたフルディスク暗号化（FDE）技術で、保存されているデータを保護します。有効にすると、ドライブのすべてのコンテンツ（システムデータまたはデータ）が暗号化されて保存されます。鍵または有効な保護手段がなければ、ファイルは読み取れません。これは、コンピュータの盗難、ディスクの取り外し、ストレージを直接読み取ろうとするオフライン攻撃などの脅威を軽減するために設計されました。
128ビットまたは256ビットのAESアルゴリズム、およびXTS-AES（現行バージョンではMicrosoftが推奨）などの最新の動作モードに対応しています。また、互換性のために、特定のレガシーシナリオではAES-CBCにも対応しています。ボリュームマスターキー（VMK）は、 TPM、PIN、パスワード、USBブートキーなどのセキュリティ対策で保護されており、ブート環境の整合性チェックに合格した場合にのみ解放されます。
BitLockerは最大限の保護を実現するために、トラステッドプラットフォームモジュール（TPM）を利用しています。このチップは、ブートチェーン（UEFI/BIOS、ブートマネージャ、重要なファイル）が改ざんされていないことを検証します。ファームウェアの変更など、何らかの変更があった場合、デバイスは起動を許可する前に回復キーを要求できます。TPMがなくても暗号化は可能ですが、その場合は起動前の整合性チェックが失われ、起動可能なUSBキーまたはパスワードが必要になります（後者はロックがないと総当たり攻撃に脆弱なため推奨されません）。
BitLockerと、特定のハードウェア構成に搭載されているデバイス暗号化機能を区別することが重要です。標準のBitLockerは高度な制御機能とオプションを提供しますが、デバイス暗号化は、外部のDMAポートにアクセスできない互換性のあるシステム（HSTI/モダンスタンバイ）で保護を自動的に有効化することを目的としており、外部USBデバイスを管理することなく、システムドライブと固定構成に焦点を当てています。
実際、BitLockerが適切に設定されていれば、盗まれたノートパソコンは単なる無価値な殻と化します。泥棒はフォーマットすることはできますが、データを読み取ることはできません。このセキュリティの飛躍的な向上は、規制（GDPR、HIPAAなど）への準拠、データ漏洩、罰金、そして信頼の失墜を防ぐ上で非常に重要です。
要件、エディション、「デバイス暗号化」との違い
BitLockerの性能を最大限に引き出すには、ハードウェアとファームウェアの両方が重要です。TPM 1.2以上（理想的にはTPM 2.0）が基本となります。TPM 2.0搭載デバイスでは、レガシーモード（CSM）はサポートされていないため、UEFIで起動する必要があります。また、信頼の連鎖を強化するために、セキュアブートを有効にすることをお勧めします。
UEFI/BIOSファームウェアは、Trusted Computing Group（TCG）の仕様を満たし、ブートキーを使用するシナリオでは、プリブート時にUSBドライブ（マスストレージクラス）を読み取ることができなければなりません。さらに、ディスクにはオペレーティングシステムボリュームとは別のシステムパーティションが必要です。暗号化されていないパーティションで、推奨サイズは約350MB（UEFIではFAT32、BIOSではNTFS）です。BitLockerを有効にした後も空き容量が確保されている必要があります。OSドライブはNTFS形式でフォーマットされます。
BitLockerは、Windows Pro、Enterprise、Pro Education/SE、Education（Windows 10/11）でサポートされています。また、Windows 7 Enterprise/UltimateおよびWindows Server（2016/2019/2022など）でもサポートされています。利用可能性と有効化権限はライセンスによって異なります。Windows Pro/Pro Education/SE、Enterprise E3/E5、Education A3/A5では、それぞれ対応する権限が付与されます。
デバイスの暗号化について：HSTI/モダンスタンバイ検証に合格し、外部DMAポートを公開しないデバイスには、デバイスの暗号化機能が搭載されています。OOBE後にクリアキーで初期化され、TPMプロテクターが作成され、回復キーがバックアップされるまで一時停止状態になります。デバイスがMicrosoft Entra ID（旧Azure AD）またはAD DSドメインに参加している場合、バックアップは自動的に実行され、クリアキーは無効化されます。パーソナルコンピュータでは、管理者権限を持つMicrosoftアカウントでログインすると、キーがアカウントにバックアップされ、TPMプロテクターがアクティブ化されます。ローカルアカウントのみを持つデバイスは、技術的には暗号化されている可能性がありますが、適切な保護と管理が欠如しています。
お使いのハードウェアはデバイス暗号化に対応していますか？msinfo32.exe （システム情報）の「デバイス暗号化の互換性」欄にその情報が表示されます。当初互換性がなかった場合でも、セキュアブートを有効にするなどの変更を行うことで互換性が確保され、BitLockerが自動的に有効になることがあります。
自動デバイス暗号化が問題にならない環境では、レジストリを使用してそれを防ぐことができます。
| ルート | お名前 | ティポ | 勇気 |
|---|---|---|---|
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\BitLocker |
PreventDeviceEncryption |
REG_DWORD | 0x1 |
このキーは、介入なしに起動することを防止し、IT部門が管理する展開への道を開く。
リムーバブルドライブについてはどうでしょうか？ Windowsには、USBフラッシュドライブや外付けハードドライブを暗号化するBitLocker To Goが搭載されています。管理サポートはコンソールによって異なる場合があります（例えば、特定のセキュリティソリューションではこのシナリオが制限されたり、管理されない場合があります）が、Windowsレベルではこの機能は存在し、組織で広く利用されています。
活性化、管理、回復、そして実践的なセキュリティ
基本的な設定は、Windows から直接行います。コントロール パネル > システムとセキュリティ > BitLocker ドライブ暗号化、またはスタートメニューで「BitLocker の管理」を検索してください。デバイス暗号化をサポートするコンピューター（Home エディションを含む）では、設定に同じセクションがあります。管理者アカウントでログインし、ウィザードに従って保護機能を選択し、回復キーを保存してください。
システムドライブで BitLocker を有効にする際の一般的な手順は次のとおりです。保護手段（TPM のみ、TPM + PIN 推奨、パスワード、または起動キー）を選択し、暗号化範囲（新規コンピュータの場合は使用済み領域のみ、既にデータが含まれている場合はドライブ全体）を決定し、暗号化モード（固定ドライブの場合は新規、コンピュータ間でドライブを移動する場合は互換）を選択します。暗号化処理中は、コンピュータの操作を続けることができます。処理はバックグラウンドで実行されます。
コマンドラインを好む場合は、BitLockerは次のように管理されます。 管理-bde (特権コマンドプロンプト):
manage-bde -on C: -rp -rk E:\ 回復キーを生成してE:に保存します。パスワード/PINを追加できます。 manage-bde -protectors -add C: -pw o -TPMAndPIN、ステータスを確認する manage-bde -status無効化して復号化するには: manage-bde -off C:. 鍵は必ず安全な場所に保管してください。 暗号化されていません。
エンタープライズ環境では、ライフサイクルガバナンスが不可欠です。セキュリティと暗号化を強制するためのグループポリシーオブジェクト（GPO） 、キーを保護するためのActive Directory/Entra ID、そしてネットワーク外のラップトップにポリシーを適用するためのモバイルデバイス管理（MDM）（Microsoft Intuneなど）が必要です。キーをActive Directory/Entra IDにコピーすることで、デバイスごとに暗号化の状態を回復および監査することが容易になります。
一部のセキュリティスイートは、BitLockerの上に管理レイヤーを追加しています。たとえば、特定のエンタープライズソリューションでは、マスターキーをコンソールに送信して復元できます。ただし、ユーザー自身が以前にドライブを暗号化した場合、そのキーは管理プラットフォームに存在しない可能性があります。その場合、通常はコンソールポリシーを使用して復号化と再暗号化を行い、暗号化中の競合を避けるために、グループポリシーオブジェクト（GPO）内の重複するBitLockerポリシーを無効にすることが推奨されます。
よくある質問：「今日、突然コンピューターから回復キーを求められました。システムが侵害されたのでしょうか？」通常はそうではありません。ファームウェア/UEFIのアップデート、セキュアブートの変更、ハードウェアの変更、または特定のドライバーによってTPMの測定値が変更され、回復キーの入力を求められることがあります。キーを入力してログインし、最近の変更と一致するイベントであれば、侵入の兆候はありません。キーをどこに保存したか覚えていない場合は、Microsoftアカウント/ログインID/AD DS、または生成した印刷物/.txt/.bekファイルを確認してください。
セキュリティ面では、BitLockerは適切に設定すれば非常に堅牢です。重要なベストプラクティスは以下のとおりです。
- 使用 TPM + PIN 最初に、所有要素 (TPM) を知識 (PIN) で強化します。
- 有効にする 安全な立ち上げ 悪意のあるブートローダーを防ぐためです。
- 保護と監査 回復キーの保管 (AD/Enter IDと制限付きアクセス)。
- セッション ロックと安全な休止状態を構成して、機会を最小限に抑えます。
完璧なシステムは存在せず、理論的および実践的な脆弱性ベクトルを認識しておくことは賢明です。例えば、セキュアブートのない環境でのブート攻撃、コールドブート（シャットダウン直後のRAMの取り外し/読み取り）、リカバリキーに関する古典的な「付箋」問題などが挙げられます。運用規律とファームウェア制御によって、これらのリスクは最小限に抑えられます。
BitLockerには使用上の注意点もあります。すべてのWindowsエディションに搭載されているわけではなく（例えば、Windows 10 Homeでは代替手段や、対応している場合はデバイス暗号化が必要になります）、TPM非搭載のコンピューターでは、起動可能なUSBドライブやパスワード（脆弱性が高い）に頼らざるを得ません。ハードウェアの大幅な変更や特定のアップデートによっては、追加のロック解除手順が必要になる場合があります。ただし、パフォーマンスは最適化されており、最新のハードウェアでは通常、影響は最小限です。
リムーバブルドライブの場合、BitLocker To Goを使用すると、USBフラッシュドライブや外付けハードドライブを保護できます。これは、外出先でのデータ管理に最適です。組織内で導入されているサードパーティ製ツールによっては、これらのメディアの管理が制限される場合があります。使用を標準化する前に、ITポリシーを確認してください。
レガシー環境の展開においては、パーティション分割と準備に関する要件を見落としてはなりません。システム（ブート）ドライブは暗号化されず、OSドライブとは分離されている必要があります。最新のWindowsインストールでは、この構成は自動的に作成されますが、レガシー環境では、BitLockerドライブ準備ツールまたはdiskpartを使用して適切なパーティションのサイズを変更および作成できます。ボリュームが完全に暗号化され、保護が有効になっている場合にのみ、セキュリティが確保されているとみなされます。
オペレーティングシステムの互換性について：Windows 11/10 Pro、Enterprise、およびEducationはBitLockerをサポートしています。Windows 8.1 Pro/Enterpriseもサポートしており、Windows 7ではEnterprise/Ultimateで利用可能です。サーバー環境では、Windows Server 2008以降のバージョンで利用できます。クロスプラットフォーム暗号化（Linux/Windows）や厳格な監査を受けたオープンソースソフトウェアを検討している場合は、VeraCryptなどの代替ソフトウェアの方が適している場合もあります。
艦隊を管理する場合、完全な戦略には以下が含まれます。
- GPO ドメイン参加時に暗号化を強制するには、アルゴリズム（例：XTS-AES 256）を選択し、 TPM+PIN.
- AD DS/ID ログイン 回復キーストアおよびコンプライアンスレポートとして使用できます。
- MDM (例: Intune) は、企業の VPN にほとんど接続しないコンピューター向けです。
- との統合 セキュリティツール BitLocker (データ保護) と位置情報やリモート ロック機能 (デバイス保護) を組み合わせて、ロック、インベントリ管理、紛失/盗難への対応が可能になります。
重要な注意点：BitLockerは起動前のシングルサインオンを実装していません。最初の認証（TPM/PIN/キー）に合格すると、ユーザーは通常どおりWindowsにログインします。これは、システムがロードされる前に環境を保護するという目的に合致しています。
重要な質問、よくある間違い、実際の事例
BitLockerはいつ使うべきでしょうか？コンピュータに公開したくない情報が保存されている場合、いつでも使用すべきです。個人データ（ID、給与明細、財務記録）から、顧客文書、設計図、契約書、知的財産まで、あらゆる情報が含まれます。出張が多い方や、カフェ、コワーキングスペース、空港などで仕事をする方にとっては、盗難被害に遭った際の救世主となるでしょう。
エンドユーザーにとって操作は複雑ですか？特に複雑ではありません。インターフェースが保護オプションの選択とキーのバックアップ方法を案内します。重要なのは、リカバリキーを安全に保管することです。デバイスがEntra IDまたはドメインに接続されている場合は、おそらく既にバックアップされています。個人用コンピュータの場合は、Microsoftアカウントに保存し、必要に応じてコピーを印刷してください。暗号化されたコンピュータ自体には保存しないでください。
コンピューターの電源を入れた後、パスワードを求められることがあるのはなぜですか？これは通常、ファームウェアやブートの変更、セキュアブートの有効化、TPMの更新、またはハードウェアの交換と同時に発生します。BitLockerが異常を検知し、回復モードに入ります。パスワードを入力すれば、問題がなければ、その後変更がない限り、再度パスワードを求められることはありません。
BitLockerはパフォーマンスに影響しますか？最新のシステムでは、特にハードウェアがAESアクセラレーション（プロセッサ固有の命令）をサポートしている場合、影響は最小限です。AES 128を選択するとパフォーマンスが向上し、AES 256は規制環境においてより高い暗号化セキュリティを提供します。
TPMがない場合、どうなるのでしょうか？ USBドライブにパスワードやブートキーを設定することはできますが、起動前の整合性検証機能が失われます。さらに、ロックポリシーのないパスワードは、ブルートフォース攻撃に対して脆弱になります。可能であれば、TPM 2.0 + UEFI + セキュアブートを選択してください。
USBドライブを暗号化してデータを転送したい場合はどうすればよいでしょうか？BitLocker To Goを使用してください。ただし、会社がリムーバブルメディアに対して特定のポリシー（複雑なパスワードの要求や、承認されていないドライブの使用拒否など）を適用するセキュリティプラットフォームを使用している場合は、IT部門と連携することを忘れないでください。
法的およびコンプライアンス上の注意：暗号化されたデバイスの場合、規制の枠組みやリスク分析によっては、盗難はハードウェアインシデントとして扱われ、報告義務のあるデータ侵害とはみなされない場合があります。つまり、暗号化はGDPRをはじめとする各種規制に対する重要なリスク軽減策ではありますが、バックアップ、アクセス制御、イベントログ記録、脆弱性管理といった対策に取って代わるものではありません。
最後に、BitLockerをエンタープライズエンドポイントソリューションと統合する場合は、暗号化エラーの原因となる可能性のある重複したポリシー（GPOとセキュリティコンソール）を避けてください。コンピュータがローカルで暗号化され、プラットフォームにそのキーがない場合は、公式ポリシーを使用して復号化してから再暗号化してください。ポリシーの一貫性により、サポートと復旧が容易になります。
BitLockerを賢く活用すること（TPM + PIN、セキュアブート、安全なパスワード、一貫したポリシー）は、デバイスを紛失するのとデータまで失うのとの違いを生み出します。普段の生活ではほとんど意識することはありませんが、何か問題が発生した際には、データが暗号化され、パスワードが適切に管理され、たとえハードウェアが紛失してもドキュメントは自分のものとして安全に保管されているという安心感に、きっと感謝することでしょう。