Windows 11のPCでは、自分でBitLockerを設定した覚えがなくても、ストレージが暗号化されていることがあります。
これは、Windowsに搭載されている「デバイス暗号化」によって、条件を満たすPCのBitLocker暗号化が自動的に有効になる場合があるためです。
ここで最初に押さえておきたいのは、「デバイス暗号化」と「BitLocker」がまったく別の暗号化技術ではないという点です。
デバイス暗号化もBitLockerの暗号化技術を利用しています。一方、一般に「BitLocker」と呼ばれることの多い「BitLocker ドライブ暗号化」とは、利用できるWindowsエディションや設定方法、対象となるドライブなどに違いがあります。
特に企業では、PCが暗号化されていることだけでなく、回復キーをどこで管理しているか、暗号化状態を管理者が把握できるか、企業のポリシーに沿った設定になっているかまで確認することが重要です。
本記事では、Windows 11のデバイス暗号化とBitLockerドライブ暗号化の違いから、企業利用で確認しておきたい管理ポイントまで解説します。
Windows 11のデバイス暗号化とは
デバイス暗号化は、Windowsが備えている暗号化機能の一つです。
Microsoftでは、OSドライブと固定ドライブに対してBitLocker暗号化を自動的に有効にするWindows機能として説明しています。
複雑な暗号化設定をユーザー自身で行わなくても、条件を満たすPCを保護しやすいことが特徴です。
デバイス暗号化はWindows Proだけの機能ではありません。
条件を満たしていれば、Windows Homeを搭載したPCでも利用できます。
また、デバイス暗号化の要件を満たすPCでは、Microsoftアカウントまたは職場・学校アカウントを使用してデバイスをセットアップすると、デバイス暗号化が有効になり、BitLocker回復キーがそのアカウントに関連付けられます。
一方、ローカルアカウントを利用している場合、デバイス暗号化は自動的には有効になりません。
そのため、デバイス暗号化は、ユーザーがBitLockerを意識して設定しなくても暗号化される場合がある仕組みと考えると分かりやすいでしょう。
BitLocker ドライブ暗号化とは
BitLockerドライブ暗号化は、Windows Pro、Enterprise、Educationで利用できる暗号化機能です。
コントロールパネルの「BitLockerの管理」などから、対象となるドライブを指定してBitLockerを有効にできます。
企業で管理されているPCでは、組織のセキュリティポリシーに応じてIT部門がBitLockerを管理することもできます。
BitLockerドライブ暗号化では、
- WindowsがインストールされたOSドライブ
- 固定データドライブ
- USBメモリなどのリムーバブルドライブ
を管理できます。
USBメモリなどのリムーバブルドライブについては「BitLocker To Go」を利用できます。
そのため、ドライブごとの暗号化や企業のセキュリティポリシーに沿った運用を行う場合には、BitLocker ドライブ暗号化や企業向けの管理基盤を利用することになります。
デバイス暗号化とBitLockerの違い
デバイス暗号化とBitLocker ドライブ暗号化の主な違いを整理すると、次のようになります。
| 比較項目 | デバイス暗号化 | BitLocker ドライブ暗号化 |
|---|---|---|
| 暗号化技術 | BitLockerを利用 | BitLocker |
| 主な位置づけ | 簡単・自動的な端末保護 | 詳細な暗号化設定・管理 |
| Windows Home | 条件を満たすPCで利用可能 | 利用不可 |
| Windows Pro | 利用可能 | 利用可能 |
| Enterprise／Education | 利用可能 | 利用可能 |
| 有効化 | 条件を満たす環境で自動的に有効になる場合がある | 手動または企業ポリシーなどで構成 |
| OSドライブ | 対応 | 対応 |
| 固定ドライブ | 対応 | 対応 |
| USBなどのリムーバブルドライブ | 対象外 | BitLocker To Goで対応 |
| 主な確認・設定 | Windows設定の「デバイスの暗号化」 | 「BitLockerの管理」や企業管理基盤 |
重要なのは、「デバイス暗号化は簡易版だから暗号強度が低い」という違いではないことです。
どちらもBitLockerの技術を利用しており、主な違いは、利用条件や設定・管理方法、対象となるドライブなどにあります。
Windows 11 Homeでもデバイス暗号化は利用できる
「BitLocker ドライブ暗号化」の管理機能については、Windows Homeでは利用できません。
一方で、BitLocker技術を利用したデバイス暗号化は、条件を満たすWindows HomeのPCでも利用できます。
そのため、企業PCを確認する際には、Windowsのエディションだけを見て「暗号化されている・されていない」を判断することはできません。
また、Windows Homeでデバイス暗号化を利用できるからといって、企業PCでもHomeで十分とは限りません。
Windows Proでは、BitLocker ドライブ暗号化に加え、Microsoft Entra IDへの参加など企業利用を想定した機能が提供されています。
企業では、「暗号化できるか」だけでなく、端末管理や回復キー、ポリシーなどをどのように管理するかまで考えてWindowsエディションを選ぶことが重要です。
Windows 11 24H2以降は自動デバイス暗号化の対象が拡大
Windows 11 バージョン24H2以降では、自動デバイス暗号化のハードウェア要件が緩和されています。
Microsoftの公式情報では、従来はHSTI（Hardware Security Test Interface）やModern Standbyなどが要件に含まれていましたが、Windows 11 24H2以降ではこれらへの依存がなくなりました。また、DMAインターフェースに関する要件も緩和されています。
この変更によって、従来より多くのPCがデバイス暗号化の対象になり得ます。
ただし、Windows 11 24H2を利用していれば、すべてのPCが必ず自動的に暗号化されるわけではありません。
TPMやUEFI Secure Bootなど、自動デバイス暗号化には引き続き条件があります。
企業では、新しくPCを導入した際に「自社でBitLockerを設定していないから暗号化されていない」と判断せず、実際の暗号化状態を確認することが重要です。
Windows 11でデバイス暗号化の状態を確認する方法
Windows 11では、デバイス暗号化の状態を設定画面から確認できます。
管理者アカウントでサインインし、
設定→プライバシーとセキュリティ→デバイスの暗号化
を確認します。
「デバイスの暗号化」がオンになっていれば、デバイス暗号化が有効になっています。
この項目自体が表示されない場合は、デバイス暗号化に対応していない場合や、標準ユーザーでサインインしている場合などがあります。
また、「システム情報」を管理者として実行し、デバイス暗号化のサポート状況を確認する方法もあります。
Windows Pro、Enterprise、Educationでは、「BitLockerの管理」から各ドライブの状態を確認することもできます。
ただし企業で多数のPCを管理する場合は、端末を1台ずつ確認するのではなく、管理基盤から暗号化状態を確認できる仕組みを整える方が効率的です。
デバイス暗号化で確認しておきたいBitLocker回復キー
デバイス暗号化が有効になっている場合は、BitLocker回復キーの保存先も確認しておく必要があります。
Microsoftアカウントまたは職場・学校アカウントを利用してデバイス暗号化が有効になると、回復キーはそのアカウントへ関連付けられます。
個人PCであれば自分のアカウントから確認することで対応できる場合がありますが、企業PCでは、
- 回復キーがどこへ保存されているか
- IT管理者が必要なときに取得できるか
- 利用者個人だけの管理になっていないか
- 回復キーへのアクセス権を適切に設定できているか
といった点まで確認しておく必要があります。
回復キーの仕組みや確認方法については、BitLocker回復キーとは？確認方法やどんな時に必要なのかご紹介で詳しく解説しています。
企業利用では「暗号化されている」だけでは不十分
Windows 11のデバイス暗号化によってPCが暗号化されていることは、データ保護の観点から有効です。
しかし、企業ではPCが暗号化されていることだけで管理が完了するわけではありません。
管理対象となるPCについて、
- 暗号化状態を継続的に確認できるか
- 回復キーを組織側で管理できるか
- 暗号化ポリシーを統一できているか
- 保護状態の変化を把握できるか
- 端末交換や利用者変更時の運用が決まっているか
なども確認する必要があります。
つまり、PCを暗号化することと、暗号化されたPCを企業として継続的に管理することは別の課題です。
BitLockerを企業で管理する際の考え方については、BitLockerの管理とは？回復キー・暗号化状態を企業で一元管理する方法で詳しく解説しています。
TPMオンリーモードではセキュリティ対策として不十分
BitLockerやWindows11のデバイス暗号化のTPM（Trusted Platform Module）オンリーモードは、暗号化キーをTPMに保管し、起動時にユーザー認証を求めることなくOSを自動的に起動できるため、運用負荷が低く利便性の高い構成です。しかし、セキュリティ対策としては十分とは言えません。
TPMオンリーモードでは、デバイスのハードウェア構成やブート環境に改ざんがなければ、自動的に暗号化キーが解放されます。
そのため、PC本体が盗難された場合や、攻撃者が端末を物理的に入手した場合でも、ユーザーによる起動前認証を求めることなくWindowsのサインイン画面まで起動します。
また、ユーザー認証要素（PINやパスワード）が追加されていないため、TPMを突破しなくても、端末自体へのアクセス権を得た攻撃者による不正利用を防ぐことはできません。
近年ではDMA攻撃やコールドブート攻撃、休止状態やスリープ状態の端末を狙った攻撃など、物理アクセスを前提とした様々な攻撃手法が指摘されています。
そのため、機密情報や個人情報を扱う端末においては、TPMオンリーモードではなく、TPM + PINを使用した認証構成を採用することが推奨されます。
TPMに加えてPIN認証を要求することで、端末盗難時の情報漏えいリスクを大幅に低減できます。
ただし、TPM + PINを採用する場合でも、PINの強度や認証ポリシーを適切に設定することが重要です。
したがって、BitLockerのTPMオンリーモードは一定の保護効果を提供するものの、主に紛失・盗難や物理アクセスを伴う脅威への対策としては不十分であり、機密性の高い情報が保存されている端末では追加認証を組み合わせることが望ましいと言えます。
Microsoft標準機能でBitLockerを企業管理する方法
企業では、Microsoft Intuneなどを利用してBitLockerを管理することもできます。
IntuneではBitLockerポリシーをWindows PCへ配布できるほか、一定の要件を満たす環境では、ユーザー操作を必要としないサイレントBitLocker暗号化にも対応しています。
また、Intuneの暗号化レポートでは、管理対象デバイスの暗号化状態を一元的に確認し、BitLocker回復キーの管理につなげることができます。
そのため、「Windows標準のBitLockerでは企業管理できない」ということではありません。
Microsoft Entra IDやIntuneなどを利用している企業では、Microsoft標準の管理基盤で必要な要件を満たせる場合があります。
重要なのは、現在の端末管理環境と、自社で求める暗号化・回復・認証などの要件を整理したうえで、適切な管理方法を選ぶことです。
SecureDocでBitLocker管理を補完するという選択肢
Microsoft標準のBitLocker管理に加えて、専用の暗号化管理製品を利用する方法もあります。
WinMagicのSecureDoc Enterprise Server（SES）は、SecureDocによる暗号化だけでなく、Microsoft BitLockerやmacOSのFileVault 2など、OSネイティブの暗号化環境の管理にも対応しています。
SecureDoc Enterprise for WindowsではBitLocker暗号を利用でき、よりセキュリティレベルの高い認証機能を追加し、SESから暗号化状態やセキュリティポリシーなどを一元的に管理できます。
たとえば、
- BitLockerに加えてSecureDocの認証機能を利用し、盗難時の不正起動を防ぎたい
- BitLocker環境をより統合的に管理したい
- WindowsとMacなど異なる暗号化環境を一つの管理基盤で扱いたい
といった要件がある場合には、SecureDocを組み合わせる方法を検討できます。
ただし、BitLockerを企業で利用するために、必ずSecureDocなどの追加製品が必要というわけではありません。
まず現在のMicrosoft環境で必要な管理要件を満たせるかを確認し、追加の認証や制御、複数の暗号化環境の統合管理などが必要な場合に専用製品を検討するという考え方が適切です。
SecureDocを利用したBitLocker管理については、BitLockerの管理とは？回復キー・暗号化状態を企業で一元管理する方法もあわせてご覧ください。
SecureDocによるBitLocker管理について詳しく知りたい方へ
企業PCで確認しておきたいポイント
Windows 11のPCを企業で導入する際は、「デバイス暗号化かBitLockerか」という名称だけで判断するのではなく、実際の暗号化状態と管理方法を確認することが重要です。
特に、次のような項目を確認しておくとよいでしょう。
- Windowsのエディションは何か
- デバイス暗号化またはBitLockerが有効になっているか
- BitLocker回復キーはどこに保存されているか
- セキュリティよりも利便性を重視しTPM Onlyモードで利用するのか
- SecureDocのようなセキュアかつ利便性の高い起動前認証は必要か
- Microsoft Entra IDやActive Directoryへの参加状況はどうなっているか
- Intuneなどの端末管理基盤を利用しているか
- 管理者が暗号化状態を確認できるか
- 暗号化ポリシーを組織として管理できているか
- USBなどリムーバブルメディアの暗号化も必要か
- 社外へ持ち出すPCがあるか
- Windows以外のOSも管理しているか
複数台の企業PCを利用する場合は、暗号化されているかだけでなく、暗号化状態と回復手段を組織として把握できているかまで確認することが重要です。
まとめ
Windows 11の「デバイス暗号化」と「BitLocker ドライブ暗号化」は、まったく別の暗号化技術ではありません。
どちらもBitLockerの技術を利用していますが、デバイス暗号化は自動的で簡単な端末保護を重視した機能で、BitLocker ドライブ暗号化はPro、Enterprise、Educationで利用でき、ドライブごとの設定などに対応しています。
また、Windows 11 24H2以降では自動デバイス暗号化のハードウェア要件が緩和され、従来より多くのPCが対象になり得ます。
そのため企業では、新しくPCを導入した際に、実際に暗号化されているか、回復キーがどこに保存されているか、組織としてその状態を管理できるかを確認することが重要です。
Microsoft Entra IDやIntuneなどの標準管理基盤で必要な要件を満たせる場合は、それらを活用できます。
一方、追加の認証機能や複数の暗号化環境の統合管理などが必要な場合には、SecureDocを組み合わせる方法も選択肢となります。