BitLockerとは？会社のノートPC紛失に備える「端末暗号化」の基本

会社のノートPCを持ち歩く機会は珍しくありません。

営業先へ持っていく。
出張で使う。
テレワークのため自宅へ持ち帰る。

便利な一方で、どうしても考えておきたいのが「紛失・盗難」です。

PCそのものを失うことも問題ですが、会社にとってより大きな問題になる可能性があるのは、中に保存されているデータを見られてしまうことです。

そこでWindows PCで確認しておきたい機能の一つが「BitLocker」です。

BitLockerとは？

BitLockerは、Windowsに搭載されているドライブ暗号化機能です。

簡単に言えば、PC内のストレージに保存されているデータを暗号化し、正しい方法で解除できなければ内容を読めない状態にします。

普段PCを使っていると、暗号化されていることを意識する場面はほとんどありません。

しかしPCが盗まれ、SSDなどのストレージを取り外して別のPCへ接続された場合などには大きな違いが出ます。

BitLockerで適切に暗号化されていれば、ストレージだけを取り出しても簡単にはデータを読み取れません。

「PCを盗まれないようにする」機能ではなく、

盗まれた後でも、中のデータを守るための仕組み

と考えると分かりやすいと思います。

Windowsのログインパスワードだけでは不十分？

「Windowsにパスワードを設定しているから大丈夫」

と思うこともあるかもしれません。

Windowsへのログインを守ることはもちろん重要です。

ただし、Windowsへのログインを保護することと、ストレージそのものを暗号化することは役割が異なります。

PCを通常どおり起動してログインできなくても、ストレージを取り外したり、別の方法でデータへアクセスされたりする可能性があります。

BitLockerはストレージ自体を暗号化することで、このようなオフラインでのデータアクセスへの対策になります。

特に、

• 営業担当者が持ち歩くノートPC
• テレワーク用PC
• 社外へ持ち出すPC
• 顧客情報や個人情報を扱うPC
• 経理・人事など重要情報を扱うPC

では、確認しておきたい機能です。

TPMと組み合わせてPCを保護する

最近のWindows PCでは「TPM」という仕組みとBitLockerを組み合わせて利用するのが一般的です。

TPMは「Trusted Platform Module」の略で、暗号化に関係する情報などを安全に扱うための仕組みです。

通常利用では、毎回長い暗号化キーを入力してWindowsを起動するわけではありません。

PCの起動状態に問題がなければ、TPMを利用して通常どおりWindowsを起動できます。

そのため、

セキュリティを高めながら、普段の操作を大きく変えずに利用できる

という点もBitLockerの特徴です。

Windows Homeでも暗号化されている場合がある

BitLockerで少し分かりにくいのが、Windowsのエディションによる違いです。

Windows Pro、Enterprise、Educationでは「BitLockerドライブ暗号化」を利用できます。

一方で、Windows Homeを含む対応PCでは「デバイスの暗号化」が利用できる場合があります。

このデバイスの暗号化にも、WindowsのBitLocker技術が利用されています。

そのため、

「BitLockerを自分で設定した覚えがないから、このPCは暗号化されていない」

とは限りません。

会社でPCを管理する場合は、購入時の記憶や思い込みだけで判断せず、実際の暗号化状態を確認することが大切です。

一番重要なのは「回復キー」の管理

BitLockerを利用するうえで、暗号化そのものと同じくらい重要なのが「回復キー」です。

BitLockerでは、通常の方法でドライブを解除できなくなった場合に備えて、48桁の数字で構成される回復キーが用意されます。

たとえば、

• BIOS・UEFIなどの設定変更
• TPMに関する変更
• 一部のハードウェア変更
• 起動環境の変化

などをきっかけに、回復キーの入力を求められることがあります。

このとき回復キーが分からなければ、正規の利用者であってもデータへアクセスできなくなる可能性があります。

つまり会社では、

BitLockerが有効になっているか

だけではなく、

必要なときに回復キーを取り出せるか

まで確認しておく必要があります。

回復キーをPCと一緒に保管しない

回復キーは、Microsoftアカウントや会社の管理環境へ保存されている場合があります。

紙などへ記録して管理する方法もあります。

ただし、ノートPCと回復キーを同じバッグへ入れて持ち歩くような管理は避けた方がよいでしょう。

PCと回復キーを同時に紛失してしまえば、せっかく暗号化していても保護の意味が弱くなってしまいます。

会社で管理するのであれば、少なくとも、

• どのPCの回復キーなのか
• どこへ保管するのか
• 誰が確認できるのか
• 緊急時にどう取り出すのか

を決めておくことをおすすめします。

Microsoft Entra IDやMicrosoft Intuneなどを利用している会社であれば、端末と回復キーを組織として管理する方法もあります。

一方、小規模な会社であれば、必ずしも大規模な端末管理システムを導入しなければならないわけではありません。

重要なのは、会社として管理できる方法を決めておくことです。

会社で最低限確認したい4つのこと

BitLockerを利用するのであれば、まず次の4点を確認してみてください。

1. 会社PCが暗号化されているか

「購入したときのままだから大丈夫」ではなく、実際の状態を確認します。

2. 回復キーがどこにあるか

暗号化されていても、回復キーの所在が分からなければトラブル時に困ります。

3. PCと利用者を紐付けて管理できているか

「このPCを誰が使っているのか」が分からない状態では、回復キーや紛失時の対応も難しくなります。

PC名、シリアル番号、利用者などを一覧にしておくだけでも管理しやすくなります。

4. 紛失したときの連絡方法を決めているか

端末を暗号化していても、紛失を会社へ報告しなくてよいわけではありません。

誰へ連絡するのか。
Microsoft 365などのアカウントへの対応が必要なのか。
端末管理システムを利用している場合は遠隔操作を行うのか。

最低限の手順を決めておくだけでも、実際に紛失したときの対応速度は変わります。

BitLockerだけですべて守れるわけではない

BitLockerは有効なセキュリティ対策ですが、PCに関するすべてのリスクを解決するものではありません。

BitLockerが主に守るのは、

紛失・盗難などが発生したときに、保存されているデータを読み取られにくくすること

です。

Windowsへ正常にログインした後のマルウェア感染や、フィッシングによるアカウント情報の窃取までBitLockerが防いでくれるわけではありません。

そのため、

• Windows Hello
• 多要素認証
• Windows Update
• ウイルス・EDR対策
• 管理者権限の適切な管理
• PC紛失時のアカウント対応
• データのバックアップ

などと組み合わせて考えることが大切です。

セキュリティは一つの製品や機能だけに任せるのではなく、複数の対策を重ねて守る考え方が基本になります。

まずは「暗号化されているか」から確認する

BitLockerという名前を聞くと、難しいセキュリティ設定に感じるかもしれません。

しかし会社で最初に確認することは、それほど複雑ではありません。

まず、

会社のノートPCは暗号化されているのか。

そして、

回復キーは会社として取り出せる状態なのか。

この2点から確認してみてください。

ノートPCは持ち運べるからこそ便利ですが、持ち運べるということは紛失する可能性もあります。

「なくさないように気をつける」だけではなく、なくしてしまった場合でも情報を守れる状態にしておくことが重要です。

TrusKiteでは、PCごとの暗号化状態やアカウント、回復キーの管理方法など、現在の環境を確認しながら整理することもできます。

端末が増えて管理方法が分からなくなってきた場合は、個別の設定だけではなく、会社全体のPC管理として整理していく方法もあります。