1. BitLockerとは

BitLockerは、Windowsに標準搭載されているドライブ暗号化機能です。ドライブ内のデータを、ボリューム（C：ドライブのように、OSが1つの記憶領域として扱う単位）全体にわたって暗号化し、正規の利用者以外がデータを読み取れない状態にします。Windowsへのサインインを保護するだけの仕組みとは異なり、データそのものを暗号化する点が特徴です。

パスワードや画面ロックは、あくまでWindowsが起動している状態でのアクセスを制限する仕組みにすぎません。そのため、PCからストレージ（SSDやHDD）を物理的に取り外し、別の端末へ接続してデータを読み出す、といった経路には対抗できません。BitLockerでドライブを暗号化しておけば、こうした端末を介さないアクセスに対しても、暗号鍵がなければデータを復元できない状態を保てます。

BitLockerが守る範囲

• PCの紛失・盗難時に、ストレージを抜き取って別端末に接続されてもデータを読み取られにくい
• ドライブ全体を暗号化するため、ファイル単位の暗号化のかけ忘れが起きにくい
• 暗号を解除するための鍵として、48桁の「回復キー」が生成される

なお、BitLockerによる暗号化の対象は、PCにローカル接続された固定ドライブが基本です。ネットワーク経由でアクセスする共有フォルダやファイルサーバー上のデータは、BitLockerの暗号化対象には含まれません。この点は、社内でのデータ保護方針を検討する上で押さえておく必要があります。

BitLockerが備える管理機能

BitLockerには、1台ずつ手動で暗号化するだけでなく、外部の管理システムから暗号化を制御したり回復キーを預けたりするための管理インターフェースが用意されています。グループポリシーやMDM向けの構成機能（BitLocker CSP）などを通じて、暗号化の有効化・無効化や暗号化状態の取得を管理側から行えるほか、有効化時に生成される48桁の回復キーを、Active DirectoryやMicrosoft Entra ID（旧Azure AD）といった外部の保管先へ自動的にバックアップ（エスクロー）できます。なお、これらの管理機能を利用できるのは、Pro、Enterprise、Educationの各エディションです。

MDMや資産管理製品は、こうしたBitLocker標準の管理機能を利用して、多数の端末の暗号化状態と回復キーを集約して管理します。本資料で後述するOPTiM Bizによる回復キーの一元管理も、このBitLockerが備える管理機能を土台としています。

2. 企業がBitLockerを利用すべき理由

テレワークやハイブリッドワークが一般化し、ノートPCを社外へ持ち出す機会は大きく増えています。それに伴い、電車やカフェへの置き忘れ、車上荒らし、盗難といった経路による端末の紛失リスクも高まっています。端末には業務データや顧客情報が保存されていることが多く、1台の紛失が情報漏えい事故に直結しかねません。

こうしたリスクに対して、パスワードや画面ロックだけで備えるのは十分とは言えません。前章で述べたとおり、ストレージを物理的に取り外されると、ログイン認証をかけていてもデータを読み出されてしまう可能性があるためです。端末が第三者の手にわたることを前提に置くと、端末内のデータそのものを暗号化しておくことが、情報漏えいを防ぐ最後の砦になります。

パスワード・画面ロックだけでは防ぎきれない例

• PCからSSD／HDDを取り外し、別のPCに接続してデータを読み出される
• 起動ディスクを差し替えて、暗号化されていないデータ領域にアクセスされる
• 廃棄・譲渡した端末のストレージからデータを復元される

BitLockerでドライブを暗号化しておけば、これらのケースでも暗号鍵がなければデータを復元できません。端末の紛失・盗難を「起こさない」対策と併せて、「起きても被害を最小化する」対策として、ドライブ暗号化は企業にとって基本的な備えとなります。

3. BitLockerを利用できるWindowsエディション

BitLockerを導入する前に、利用中のPCがBitLockerに対応しているかを確認する必要があります。BitLockerの管理機能を利用できるWindowsエディションは限られており、導入前に環境要件を整理しておくことが重要です。

■ BitLockerが利用できるエディション

ドライブの暗号化そのものは、Windows 11のHome、Pro、Enterprise、Educationのいずれのエディションでも利用できます。Homeエディションでは「デバイスの暗号化」という名称で提供され、中身はBitLockerと同じ仕組みです。なお、Windows 11 バージョン24H2からは、この「デバイスの暗号化」を利用するためのハードウェア要件（モダンスタンバイ／HSTI、DMAポートの制限）が撤廃され、対象となる端末が大きく広がりました。

一方で、暗号化を組織側から制御・管理する機能は、Pro、Enterprise、Educationの各エディションに限られ、Homeエディションには搭載されていません。Homeでは暗号化の状態を管理側から取得したり、回復キーを組織の保管先へ預けたりすることができず、回復キーは利用者個人のMicrosoftアカウントに保存されます。そのため、企業でのWindows利用を前提とする場合、Homeエディションの利用を避ける必要があります。（2026年9月現在）

■注意が必要なのは知らないうちに暗号化されているケース

Windows 11 バージョン24H2以降では、クリーンインストールや初期化を行った際に「デバイスの暗号化」が既定で有効化されます。これはHomeエディションに限らず、Pro／Enterpriseでも同様に発生します。この場合、利用者が意識しないまま暗号化が有効になり、回復キーが適切に管理されていないと、後から回復キーの入力を求められた際にデータへアクセスできなくなる恐れがあります。企業として端末を管理する際は、暗号化の有無を把握できる仕組みが欠かせません。

4. BitLockerの回復キーとは

回復キーとは、BitLockerで暗号化されたドライブを通常どおりに解除できない場合に使用する、48桁の数値からなるキーです。何らかの理由で通常の解除ができなくなったとき、この回復キーを入力することで暗号化されたドライブへアクセスできます。

回復キーの入力を求められる代表的なきっかけには、次のようなものがあります。いずれも業務の中で起こり得る変更であり、回復キーが手元にないとPCを起動できなくなる場合があります。

• マザーボードやTPMなど、ハードウェア構成を変更したとき
• 起動環境に異常が発生し、Windowsが正常に起動しないとき
• BIOS／UEFIの設定変更やアップデートを行ったとき

事例：2024年 CrowdStrike障害と回復キー

回復キーの管理の重要性を広く印象づけたのが、2024年7月にCrowdStrike社がWindows向けに配信した不具合のある更新プログラムによる大規模障害です。世界中で約850万台のWindows端末がブルースクリーンや再起動ループに陥り、業務が停止しました。この復旧には、回復環境から問題のファイルを削除する手作業が必要でしたが、その回復環境に入る段階でBitLockerの回復キーの入力が求められました。BitLockerで暗号化された端末では、各端末固有の48桁の回復キーを手動で入力する必要があり、リモートで働く従業員へ回復キーを届けることが大きな課題となりました。さらに、回復キーを社内サーバーに保管していた一部の組織では、そのサーバー自体が同じ障害で停止し、回復キーを取り出せなくなるケースもありました。

この事例は、回復キーが「どこにあるか分からない」「手元にすぐ取り出せない」状態では、いざというときに端末を復旧できないことを示しています。特定製品の障害に限らず、更新プログラムの適用後に端末が正常に起動せず、回復キーの入力を求められるケースも報告されているため、暗号化そのものだけでなく、回復キーをいかに確実に管理しておくかが実際の運用上の復旧速度を左右します。

■暗号化と同時に回復キーの保管方法を決める

回復キーは、暗号化を有効化するその時点で生成されます。「暗号化してから後で控える」のではなく、有効化と同時に安全な保管方法を決めておくことが原則です。保管が個々の利用者任せになると、後述するように管理が破綻しやすくなります。

5. BitLockerを有効化する方法

ここでは、Windows PC単体でBitLockerを有効化する基本的な手順を紹介します。BitLockerは、コントロールパネルまたは設定画面から有効化できます。

■ 基本的な手順（手動設定）

1. コントロールパネルの「BitLocker ドライブ暗号化」を開く
2. 暗号化したいドライブを選び、「BitLockerを有効にする」を選択する
3. 回復キーの保存方法を選ぶ（Microsoftアカウントへの保存、ファイルへの保存、印刷など）
4. 暗号化する範囲を選ぶ（使用済み領域のみ／ドライブ全体）
5. 暗号化モードを選び、暗号化を開始する

■ 手動設定とOPTiM Bizからの適用の違い

上記は端末ごとに手動で設定する方法です。台数が少なければ問題ありませんが、多数のPCを対象にする場合、1台ずつ設定して回復キーを保管していく運用は現実的ではありません。

OPTiM Bizを利用すると、管理画面から暗号化設定を配布し、対象のPCに対してBitLockerの有効化・無効化をまとめて適用できます。有効化の際に生成される回復キーは端末情報と紐づけて管理サイト側で確認できるため、端末ごとに回復キーを手作業で控える必要がありません。手動設定とOPTiM Bizからの適用の違いは次のとおりです。

6. BitLocker利用時の注意点

BitLockerは有効化するだけで完結する機能ではありません。企業で利用する際に注意したい代表的なポイントを整理します。

• 回復キーを紛失すると、暗号化されたデータへアクセスできなくなる可能性がある
• 利用者が自分の判断でBitLockerを解除してしまい、暗号化されていない状態に戻る可能性がある
• 端末ごとに有効化のタイミングが異なり、暗号化状況にばらつきが生じる
• ハードウェア変更時に、想定していないタイミングで回復キーの入力を求められる場合がある
• 退職者の端末や端末交換の際に、回復キーなどの管理情報が引き継がれないことがある

7. 手作業によるBitLocker管理の課題

少数のPCであれば、端末ごとに個別設定し、回復キーを控えておく運用も可能です。しかし、管理対象の端末数が増えるにつれて、暗号化の設定漏れや回復キーの保管漏れが起こりやすくなります。「設定したつもり」の端末が実は暗号化されていなかった、という事態は、台数が多いほど起きやすく、さらに見えにくくなります。

Excelなどの表計算ソフトで端末と回復キーを一覧管理する方法も広く使われていますが、これにもいくつかの課題があります。

• 情報の更新漏れ：端末交換や再暗号化のたびに手作業で更新する必要があり、記載が実態とずれていく
• 紐づけの誤り：似た名前の端末や型番を取り違えて誤った回復キーを紐づけてしまう
• ファイル自体の漏えいリスク：回復キーの一覧ファイルが流出すれば、暗号化の意味が損なわれる

■「暗号化したつもり」で終わらせないために

手作業の管理では、暗号化の実施状況を正確に把握し続けることが難しくなります。求められるのは、管理対象PCの暗号化状態を一覧で把握でき、回復キーを安全かつ確実に端末と紐づけて管理できる仕組みです。一般的には、Active Directoryのグループポリシー(GPO)やモバイルデバイス管理(MDM)、PC資産管理ツールなどを用いて一元管理することが推奨されます。

なお、複数の経路で暗号化を制御した場合、端末ごとに複数の回復キーが発生し、特定のツールで収集・格納された回復キーだけでは復旧に足りないケースが生じます。管理経路はあらかじめ一本化しておくことが重要です。

8. OPTiM BizによるBitLockerの一元管理

OPTiM Bizでは、Windows PCのBitLocker暗号化設定の適用や、暗号化状況の確認を管理画面から行えます。端末ごとのドライブ暗号化状況と回復キーを一元的に把握することで、設定されていないPCの検知や、トラブル発生時の回復対応を効率化できます。

OPTiM Bizの管理画面では、端末の詳細情報からドライブ単位の暗号化状態（有効・無効・不明）や暗号化の進捗、TPMの情報、そして48桁の回復キーを確認できます。回復キーは端末情報の一部として管理されるため、Excelでの手作業管理のような更新漏れや紐づけ誤りのリスクを抑えられます。手作業での運用で生じがちな課題と、OPTiM Bizによる対応を比較すると次のとおりです。

9. PC紛失時にOPTiM Bizでできること

万一PCを紛失した場合、OPTiM Bizでは暗号化済みのWindows PCに対して、BitLockerを利用したリモートワイプを実行できます。管理画面のリモートワイプ操作では、目的に応じて「PC初期化」「BitLocker」「データ削除」の3つの方式から選択できます。

■BitLockerを利用したリモートワイプ

BitLocker方式のワイプでは、端末内のドライブから回復キー以外の鍵（キープロテクタ）を削除します。これにより、第三者が端末内のデータへアクセスすることが極めて困難な状態になるため、紛失や盗難といったケースにおすすめの方法です。一方で、管理サイト側に保管された回復キーは残るため、後日端末が手元に戻った場合には、管理画面で確認した回復キーを使ってドライブを復旧できます。

■BitLocker方式のポイント

• 回復キー以外のキープロテクタを削除し、データを読み取りにくい状態にする
• 回復キーを持たないドライブは、この方式の対象外となる
• 端末が見つかった場合は、管理画面の回復キーで復旧できる

■ 導入前に確認すべき条件

• Windowsのエディション（Pro／Enterprise／Educationであること）
• 端末のTPM対応状況（TPMを搭載していない場合、暗号化の解除にスタートアップキーやパスワードの入力が必要になります）※
• 管理者権限（BitLockerの有効化には管理者権限が必要です）
• OPTiM Bizで暗号化設定を管理する場合は、後述の対応環境を満たしていること

■ OPTiM Bizの対応環境

OPTiM BizからBitLockerの暗号化設定を管理する場合、対応するOS・エディションは次のとおりです。導入前に、管理対象のPCがこの範囲に含まれるかを確認してください。

OPTiM Bizのドライブ暗号化機能 対応環境

• Windows 10 Enterprise 2016 LTSB
• Windows 10 Enterprise LTSC 2019
• Windows 11 以降の Pro／Enterprise／Education エディション

※Windows 11 IoT Enterpriseの製品に関しては、機器によってTPMの搭載有無やセキュアブートの構成が異なるため、個別に動作確認を行っております。別途お問い合わせください。

■ BitLockerを利用できない環境への備え

端末のエディションやTPMの状況によっては、BitLocker方式のワイプを利用できない場合があります。そうした環境に備えて、OPTiM Bizでは「PC初期化」や「データ削除」といった別のワイプ方式も用意しています。端末の状況に応じて適切な方式を選ぶことで、幅広いPCに対して紛失・盗難時の対応を行えます。

10. まとめ

BitLockerは、Windows PCの紛失・盗難時に端末内のデータを保護するための、有効なドライブ暗号化機能です。パスワードや画面ロックだけでは防ぎきれない、ストレージの抜き取りといった経路にも対抗できる点で、企業の情報漏えい対策の基本となります。

一方で、企業で利用する場合は、端末ごとの設定、暗号化状況の確認、回復キーの保管、そして紛失時の対応までを継続的に管理する必要があります。台数が増えるほど手作業での管理は難しくなり、「暗号化したつもり」の端末や、行方の分からない回復キーが生まれやすくなります。

OPTiM Bizを活用することで、Windows PCの暗号化状況と回復キーを一元管理し、設定漏れの防止や紛失時の迅速な対応を支援できます。BitLockerの導入効果を確実に引き出すために、暗号化と運用管理をセットで整えることをおすすめします。