BitLocker実務ガイドの知識マップ(知識グラフ)
BitLockerはドライブ全体を暗号化して紛失・盗難によるデータ流出を防ぎ、暗号化キーの保護には通常TPMを使います。Windows 11 24H2以降は「デバイスの暗号化」により多くのPCで自動的に暗号化が初期化されるため、生命線である回復キーをEntra ID・AD DS・Microsoftアカウントのどこに保存し、誰が取り出せるようにするかの管理が実務の中心になります。
BitLocker
ドライブ全体を暗号化して紛失・盗難・不適切な廃棄によるデータ流出を防ぐWindowsの機能。
BitLockerドライブ暗号化
回復キー(回復パスワード)
BitLockerの通常の解錠ができないときにドライブを解錠する48桁の数字。
BitLocker回復キー
48桁の回復パスワード
TPM
暗号鍵を外部に出さずに保護し、起動環境の改ざん検証を担うセキュリティモジュール。
セキュリティチップ
XTS-AES
BitLockerが既定で使うブロック暗号の動作モード。
紛失・盗難によるデータ流出
PCやディスクの紛失・盗難・不適切な廃棄によって保存データが第三者に読まれること。
情報漏えい(紛失・盗難)
デバイスの暗号化
要件を満たすPCでBitLockerによる暗号化を自動的に初期化する簡易機能。
自動デバイス暗号化
UEFIセキュアブート
署名検証に通ったブートコンポーネントだけを起動させるUEFIの仕組み。
セキュアブート
Microsoft Entra ID
Microsoftのクラウド型ID・アクセス管理基盤。
Active Directory(AD DS)
オンプレミスのWindowsドメインを構成するディレクトリサービス。
オンプレAD
Microsoftアカウント
個人向けサービスにサインインするためのMicrosoftのアカウント。
MSアカウント
BitLocker回復モード
起動環境の変化などで通常の解錠ができず、回復キーの入力を求められる状態。
回復画面
ファームウェア更新
PCのBIOS/UEFIファームウェアを更新する作業。
BIOS更新
UEFI更新
グループポリシー
Active Directoryドメイン環境でWindowsの設定を集中構成する仕組み。
Microsoft Intune
クラウドからPC・モバイルデバイスを管理するMicrosoftのMDMサービス。
起動時PIN(TPM+PIN)
TPMに加えて起動時にPINの入力を必須にする、BitLockerの多要素構成。
スタートアップキー
USBメモリに保存した鍵ファイルで起動時の認証を行うBitLockerの方式。TPMのないPCでも利用できる。
保護の一時停止(サスペンド)
暗号化を保ったままBitLockerの保護を一時的に無効化する操作。既定では再起動で自動再開する。
回復情報のバックアップ必須ポリシー
回復情報の保存に成功するまでBitLockerの有効化を許可しないポリシー。
回復情報がAD DSに保存されるまでBitLockerを有効にしない
回復キー不在によるデータ喪失
回復手段の控えがないまま回復モードに入り、暗号化されたデータを取り出せなくなること。
manage-bde
BitLockerの状態確認・プロテクター管理を行うコマンドラインツール。
Windows Pro/Enterprise系エディション
Pro・Pro Education・Enterprise・Educationなど、管理機能を持つWindowsのエディション群。
Windows Homeエディション
個人向けのWindowsエディション。管理系機能の多くが対象外。
クリアキー
保護なしの一時鍵。OOBE完了時点の暗号化はこの鍵で行われ、回復キーのバックアップ成功後に除去される。
ローカルアカウント
MicrosoftアカウントやEntra IDに紐づかない、PC内で完結するアカウント。
保護されない暗号化状態
暗号化はされているが保護が有効化(アーム)されておらず、盗難時の保護にならない状態。
ハードウェア交換
マザーボード交換やドライブの別PCへの移設など、起動環境が変わるハードウェアの変更。
マザーボード交換
ドライブ移設
印刷・ファイルの控え
紙への印刷やUSBメモリ・ファイルとして手動保存した回復キーの控え。
回復キーの控え
使用済み領域のみ暗号化
データのある領域だけを暗号化して初回の所要時間を短縮する範囲指定。新品ドライブ向け。
修理・保守作業
PCを修理業者や保守要員に預けて作業してもらうこと。
修理
回復キーの漏えい
回復キーが第三者に知られ、ドライブの全データにアクセスされ得る状態。
回復パスワードの再発行(ローテーション)
新しい回復パスワードを発行してバックアップ成功を確認したうえで、使用・開示されたものを無効化する運用。
回復キーの使い捨て
PC廃棄
PCやディスクを廃棄・売却・リサイクルに出すこと。
廃棄・リサイクル
データ消去手順
初期化(リセット)・専用消去ツール・物理破壊など、検証可能な形でデータを消す手順。
初期化・消去ツール・物理破壊
暗号化の性能影響
ドライブ暗号化によるI/O性能への影響。現代のPCでは体感に響くことはまれ。
msinfo32(システム情報)
デバイスの暗号化の前提条件を満たしているかを「デバイスの暗号化のサポート」行で確認できるツール。
システム情報
パスワード方式
起動時にパスワードを入力するBitLockerの認証方式。ロックアウトの仕組みがなく総当たりに弱い。
パスワードプロテクター
担当者個人アカウントでの回復キー保管
会社PCの回復キーが担当者個人のMicrosoftアカウントにだけ保存されている状態。
回復キーID
回復パスワードごとの識別子。回復画面に表示される先頭8桁を、保存済みキーと照合する手がかりにする。
キー識別子
暗号化方式の選定
XTS-AESの128/256ビットなど暗号化方式を決めること。後から変えるには復号と再暗号化が必要。
無人運転の装置PC
人手を介さず再起動・稼働し続ける必要がある装置制御・キオスク用途のPC。
装置PC
キオスクPC
保護有効化済みイメージの複製
BitLockerの保護を有効化した状態の親機イメージを複製すること。回復パスワードはデバイス固有のため複製してはならない。
クローン展開
親機のディスクイメージを複製して複数PCへ展開するキッティング方式。
イメージ展開
DPAPI
実行中のマシン上でアプリの秘密情報を保護するWindowsのデータ保護API。
データ保護API
アプリの秘密情報
業務アプリが扱う接続文字列・APIキーなどの秘密情報。ログオン済みマシンではドライブ暗号化では守れない。
接続文字列
APIキー
TPM搭載PCの既定構成では暗号化キーの保護にTPMを使い、起動環境の検証に通ったときだけキーを解放する(TPMのないPCではスタートアップキー方式を使う)
既定の暗号化方式はXTS-AES 128ビット
ディスクを抜いて別PCへつなぐ攻撃や不適切な廃棄でもデータを読めなくする
要件を満たすPCでOOBE完了時に暗号化を自動で初期化する
TPM(1.2または2.0)の搭載が条件
UEFIセキュアブートが有効であることが条件
Entra ID参加PCではEntra IDへ自動バックアップされる
回復ポリシー構成済みのドメイン参加PCではAD DSへバックアップされる
個人利用ではMicrosoftアカウントに保存され aka.ms/myrecoverykey で確認できる
回復モードからの復帰には48桁の回復パスワード等の回復手段が必要
起動環境の測定値が変わるため、計画作業前の一時停止(サスペンド)が定石
回復方法や暗号化方式などをGPOで構成できる
BitLocker CSP経由でIntuneから構成できる
据え置きの高セキュリティ端末向けに、起動時のPIN入力を必須にする多要素構成を選べる
TPMのないPCでもスタートアップキー方式でOSドライブを暗号化できる
ファームウェア更新などの計画作業前に保護を一時停止すれば、回復キーを要求されずに作業できる
バックアップ成功まで有効化させないことで、回復手段のない暗号化ボリュームの発生を防ぐ
「回復情報が保存されるまでBitLockerを有効にしない」をGPOで構成する
回復キーがどこにも保存されていない状態で回復モードに入ると、初期化(全データ消失)しかなくなる
manage-bde -status / -protectors -get で暗号化状態と回復キーを確認できる
手動での有効化やグループポリシー・PIN構成などの管理機能を含むフル機能のBitLockerはPro/Enterprise系エディションが対象。ただし同じ暗号化技術を使う簡易版の「デバイスの暗号化」はHomeを含む全エディションで自動的に動作する
TPMとUEFIセキュアブートなどの要件を満たす機種であれば、HomeエディションでもBitLockerと同じ技術を使う「デバイスの暗号化」は利用できる
OOBE完了時点の暗号化は保護なしのクリアキーで行われ、条件を満たすサインインで保護が有効化される
ローカルアカウントのみで使い続けると回復キーのバックアップ先がなく、保護が有効化されないままになる
暗号化されていても保護が有効でなければ、盗難時にデータを守る効果はない
セキュアブート設定の変更は起動環境の測定値を変え、回復モードの引き金になる
TPMのクリアや自己テスト失敗など、TPM側の状態変化も回復モードの引き金になる
マザーボード交換やドライブの別PCへの移設は起動環境が変わるため回復モードに入る
自動バックアップ先がない環境では、印刷やファイル保存による手動の控えが最後の受け皿になる
新品ドライブでは使用済み領域のみ暗号化を選ぶと初回の所要時間を大きく短縮できる
修理・保守で回復キーを第三者に伝えると、そのキーは漏えいしたものとして扱う必要がある
新しい回復パスワードを追加してバックアップ成功を確認してから開示済みのものを削除すれば、漏えいの影響を断ち切れる
暗号化していても廃棄・売却時は、NIST SP 800-88が定義するような検証可能な消去手順(初期化・消去ツール・物理破壊)が別途必要
検証可能な形でデータを消してから手放すことで、廃棄・売却経由の流出を防ぐ
暗号化によるI/O性能への影響はあるが、現代のPCでは体感に響くことはまれ
ファームウェア更新・セキュアブート設定変更などの計画作業は、保護の一時停止を済ませてから行うのが定石
「回復情報が保存されるまでBitLockerを有効にしない」構成を先に入れ、バックアップ成功を有効化に先行させる
回復キーを第三者に渡した・回復に使った後は、新パスワード追加→バックアップ成功確認→旧パスワード削除の手順での再発行が推奨
Entra ID参加デバイスの自動ローテーションは、回復情報のバックアップを必須にするポリシーが構成されているときにだけ機能する
「デバイスの暗号化のサポート」の行で自機が前提条件を満たすかを確認できる
ロックアウトの仕組みがなく総当たりに弱いため既定で無効化されている。TPMまたはスタートアップキー方式を使う
会社PCの回復キーが担当者個人のアカウントにしかない状態は、退職・異動で取り出せなくなる
回復画面に表示されるIDの先頭8桁を保存済みキーのIDと突き合わせ、正しいキーを特定する
manage-bde -protectors -get で48桁の回復パスワードとそのIDを確認できる。後からのバックアップ(BackupToAAD等)もIDを使う
暗号化方式を後から変えるには復号→再暗号化が必要なため、有効化の前に決め切る
起動のたびに人手のPIN入力が要るため、無人再起動が前提の装置PC・キオスクPCには向かない
回復パスワードは作成したデバイスに固有のため、保護有効化済みイメージは複製せず、展開後にPCごとに有効化する
ログオン済みのマシンではドライブは復号されて見えるため、接続文字列やAPIキーはBitLockerではなくDPAPI等で守る