BitLockerの管理とは？回復キー・暗号化状態を企業で一元管理する方法

Windowsには、ドライブを暗号化してデータを保護する機能としてBitLockerが搭載されています。

業務用PCの紛失や盗難が発生した場合でも、ストレージを暗号化しておくことで、第三者による不正なデータ読み取りのリスクを抑えられます。

一方、企業で数十台、数百台とPCを運用する場合は、単に「BitLockerを有効にした」というだけでは十分ではありません。

各PCが暗号化された状態を維持しているか、回復キーを適切に管理できているか、暗号方式や認証方法が社内ポリシーに沿っているかなどを継続的に確認する必要があります。

BitLockerは、Microsoft IntuneやMicrosoft Entra ID、グループポリシー、Microsoft Configuration Managerなどと組み合わせることで、企業向けの管理も可能です。そのため、「BitLockerだけでは企業で管理できない」ということではありません。重要なのは、現在の端末管理環境と必要なセキュリティ要件に応じて、適切な管理方法を選ぶことです。

本記事では、企業がBitLockerを運用する際に管理すべき項目、Microsoft標準の管理方法、実際の運用で起こりやすい課題、SecureDocを利用した一元管理について解説します。

 

BitLockerの管理とは

BitLockerは、Windowsに搭載されているドライブ暗号化機能です。PCのストレージを暗号化することで、端末を紛失・盗難された場合や、ストレージを取り外された場合などに、第三者による不正なデータアクセスを防ぎやすくなります。

ただし、企業でBitLockerを利用する場合は、「暗号化を有効にすること」と「暗号化されたPCを継続的に管理すること」を分けて考える必要があります。

1台のPCであれば、BitLockerが有効になっていることや回復キーの保存場所を個別に確認することもできます。しかし、管理対象が数十台、数百台と増えると、端末ごとの確認だけで運用することは難しくなります。

企業でBitLockerを利用する場合は、少なくとも次のような項目を管理する必要があります。

つまり、企業におけるBitLocker管理とは、暗号化を導入するだけでなく、必要なPCが適切な状態で暗号化され続けていることを確認・維持できる仕組みを整えることといえます。

 

企業でBitLockerを管理する必要がある理由

企業のPCには、顧客情報、契約書、営業資料、設計資料、社内情報、クラウドサービスへのアクセス情報など、外部へ流出すると大きな影響が生じる情報が保存されている場合があります。

そのため、PCを暗号化する目的は「BitLockerをオンにすること」そのものではありません。万が一PCが第三者の手に渡った場合にもデータを保護できる状態を維持し、その状態をIT管理者が把握できることが重要です。

特に端末数が増えると、次のような変化も発生します。

BitLockerでは、ハードウェアやファームウェアなどの変更によって、通常の方法でドライブのロックを解除できず、回復キーが必要になる場合もあります。そのため、企業では暗号化の設定だけでなく、回復や端末のライフサイクルまで含めて管理することが重要です。

PCの紛失・盗難を含めた端末保護については、社外持ち出しPCのセキュリティ対策とは？暗号化・認証・紛失時対応を企業向けに解説もあわせてご覧ください。

 

BitLocker管理で確認すべき6つの項目

企業でBitLockerを運用する場合、どのような点を管理する必要があるのでしょうか。ここでは特に重要な6項目を整理します。

 

1．PCの暗号化状態

最初に確認したいのが、管理対象となるPCが実際にBitLockerで保護されているかという点です。

企業では、BitLockerの導入を指示するだけでなく、次の状態を継続的に確認する必要があります。

Microsoft Intuneの暗号化レポートでは、管理対象デバイスの暗号化状態を一元的に確認し、回復キー管理などにつなげることができます。

したがって、BitLockerそのものの機能だけを見るのではなく、どの管理基盤と組み合わせて暗号化状態を把握するかを検討することが重要です。

 

2．BitLocker回復キー

BitLockerを企業で管理するうえで、特に重要なのが回復キーです。

BitLocker回復キーは、通常の方法でドライブのロックを解除できなくなった場合に、暗号化されたドライブへのアクセスを復旧するために利用します。

企業では回復キーの保存場所だけでなく、次の点まで決めておく必要があります。

Microsoft Entra IDやActive Directory Domain Servicesを利用して、BitLockerの回復情報を組織側で保存することもできます。また、Microsoft Intuneでは、要件を満たす管理対象端末のBitLocker回復キーをリモートでローテーションできます。

そのため企業では、回復キーを単に保存するだけでなく、保存・閲覧・利用・更新までを一連の運用として設計することが重要です。

BitLocker回復キーの仕組みや確認方法については、BitLocker回復キーとは？確認方法やどんな時に必要なのかご紹介で詳しく解説しています。

 

3．暗号方式と暗号化ポリシー

企業では、BitLockerを有効にするだけでなく、どの暗号方式を利用するのかも管理する必要があります。

BitLockerではAES-CBCとXTS-AESを利用でき、それぞれ128bitと256bitを設定できます。Microsoftは、ポリシーを構成しない場合の既定値をXTS-AES 128-bitとしています。詳しくはMicrosoft LearnのBitLocker構成情報をご確認ください。

また、次のような項目も、端末や企業のセキュリティポリシーに応じて検討します。

PCごとに設定がばらつくと、管理者が暗号化状態を把握しにくくなるため、企業として標準となる暗号化ポリシーを決めておくことが重要です。

 

4．BitLockerの無効化・一時停止

BitLockerでは、「暗号化を解除すること」と「BitLocker保護を一時停止すること」は異なります。

暗号化を解除するとドライブが復号されますが、BitLocker保護を一時停止した場合、ドライブそのものは暗号化された状態を維持します。一方で、一時停止している間は通常時と同じ保護状態ではありません。

企業では、誰がBitLockerを解除できるのか、誰が保護を一時停止できるのか、保守作業後に保護が適切に再開されているか、といった点を管理する必要があります。

BitLockerが有効かどうかだけでなく、現在どのような保護状態にあるかを確認できることが重要です。

 

5．TPM・PINなどの起動時認証

BitLockerでは、TPMを利用して暗号鍵を保護できます。また、セキュリティ要件に応じて、TPMのみだけでなく、TPM＋PINやUSBスタートアップキーなどを利用する構成も可能です。

TPMのみの構成はユーザー操作を増やしにくく、利便性を維持しやすい方法です。一方、社外へ持ち出すPCなど、物理的な紛失・盗難リスクを重視する環境では、追加の起動時認証を検討する場合もあります。

認証方式を決める際は、PCの利用場所、紛失・盗難の可能性、必要なセキュリティレベル、利用者の操作負担、サポート体制などを考慮する必要があります。

BitLockerとTPMの関係については、ディスク暗号化とTPM（セキュリティ考察）、プリブート認証についてはプリブート認証が必要な理由も参考になります。

 

6．端末・ユーザー・管理ログ

暗号化管理は、PCへBitLockerを設定した時点で終わるものではありません。

企業では、PCの新規導入から交換・廃棄までの間に、利用者の変更や部署異動、修理などさまざまなイベントが発生します。

そのため、誰がどのPCを利用しているか、どの暗号化ポリシーが適用されているか、管理対象端末が現在も稼働しているか、管理者によってどのような操作が行われたかなどを確認できる状態にしておくことが重要です。

特に管理対象の端末数が増えるほど、暗号化管理を端末のライフサイクル管理の一部として設計する必要があります。

 

BitLockerを企業で管理する主な方法

企業でBitLockerを管理する方法は一つではありません。Microsoftが提供する管理基盤を利用する方法のほか、暗号化管理製品を利用する方法があります。

Microsoft標準の管理機能だけで自社の要件を満たせる場合は、それらを活用することも有効です。

一方で、追加のプリブート認証やBitLocker設定変更の制御、Windows以外を含めた暗号化環境の一元管理などが必要な場合は、専用の暗号化管理製品を検討することになります。

どの方法が適しているかは、PC台数だけでなく、現在利用しているMicrosoft環境や必要な認証・制御機能によって異なります。

 

BitLocker運用で実際に起こりやすい課題

ここまで紹介した管理項目が整理されていないと、実際の運用ではどのような問題が起こるのでしょうか。代表的な場面を見てみましょう。

 

新しいPCや交換したPCだけ暗号化されていない

既存PCではBitLockerを有効にしていても、新規導入や交換、OS再セットアップなどをきっかけに、一部のPCだけ暗号化が適用されていないことがあります。

端末ごとの手作業に依存すると設定漏れが発生しやすいため、企業では新しいPCを管理対象へ追加した際にも、適切な暗号化ポリシーが適用される仕組みが必要です。

 

回復が必要になったときに回復キーを取得できない

通常時には問題なく利用できていても、ハードウェアやファームウェアの変更、端末トラブルなどをきっかけとしてBitLocker回復が必要になることがあります。

その際に回復キーの保存場所が分からなかったり、管理者が取得できなかったりすると、業務再開までに時間がかかる可能性があります。

暗号化PCの起動トラブルについては、暗号化PCが起動しない時の企業向け解決ガイドもあわせてご覧ください。

 

保守作業や設定変更後の状態を把握できていない

保守作業などでBitLockerの保護を一時停止したり、管理者が暗号化設定を変更したりすることがあります。

問題は、その操作自体ではなく、作業後の端末が企業の定めた状態へ戻っているか確認できないことです。

誰が設定変更できるか、変更後にどのように状態を確認するかまで決めておくことが重要です。

 

OSや暗号化方式ごとに管理方法が分かれている

WindowsだけでなくMacなどを利用している企業では、BitLockerとFileVaultなど、OSごとに異なる暗号化機能を管理することになります。

管理画面や復旧手順、担当者の操作方法がそれぞれ異なると、IT管理部門の負担が増える可能性があります。こうした環境では、暗号化方式だけでなく、管理方法そのものを統一できるかという観点も重要です。

 

SecureDocによるBitLockerの一元管理

WinMagicでは、企業の暗号化管理を支援するソリューションとしてSecureDocを提供しています。

SecureDoc Enterprise Server（SES）は、SecureDocの暗号化エンジンだけでなく、Microsoft BitLockerやmacOSのFileVault 2など、OSに搭載されている暗号化機能を利用する端末も管理できます。また、すでにBitLockerで暗号化されているWindows PCをSecureDocの管理対象に含めることも可能です。

詳しくは、SecureDoc for Windowsをご覧ください。

 

既存のBitLocker環境を維持したまま管理できる

SecureDocを利用するために、すでにBitLockerで暗号化しているPCをすべて別の暗号方式へ変更する必要はありません。

SecureDoc Enterprise Serverでは、既存のBitLocker暗号化端末を管理対象に含め、暗号化環境を一元的に管理できます。

「BitLockerによる暗号化はそのまま利用し、企業として必要な管理・認証機能を追加する」という導入方法も選択できます。

 

BitLockerのポリシーと設定変更を管理できる

SecureDocでは、BitLockerの暗号方式や対象ドライブなどをプロファイルとして設定できます。

また、BitLocker Tamper Protectionでは、次のような制御を設定できます。

ローカル管理者権限を持つユーザーが存在する環境などで、BitLockerの設定変更をより厳格に管理したい場合に検討できる機能です。

 

SecureDoc独自のプリブート認証を利用できる

SecureDocでは、BitLocker標準の起動時認証を利用するだけでなく、SecureDoc独自のプリブート認証を組み合わせることができます。

SecureDocのプリブート認証では、パスワードルールやユーザーロック、チャレンジ＆レスポンスなどを設定できます。また、プリブート認証で入力した資格情報をWindowsサインインへ引き継ぐSSOを構成することもできます。

そのため、起動時の認証を強化しながら、プリブート認証後にWindowsでもう一度資格情報を入力する負担を減らす構成も可能です。

 

異なる暗号化環境を一つの管理基盤で扱える

SecureDoc Enterprise ServerはBitLockerだけを管理する製品ではありません。

Microsoft BitLockerのほか、FileVault 2やSecureDoc独自の暗号化、自己暗号化ドライブ（SED）など、異なる暗号化環境を管理できます。また、SESでは暗号化状態やセキュリティポリシー、端末情報、監査ログなどを確認できます。

WindowsとMacなど複数の環境が混在している企業では、OSごとに異なる暗号化方式を維持しながら、管理方法をまとめたい場合の選択肢になります。

 

Microsoft標準管理だけで十分かを判断するポイント

企業でBitLockerを利用するからといって、必ずSecureDocなどの追加製品が必要になるわけではありません。

たとえば、次のような企業では、現在のMicrosoft管理基盤だけで要件を満たせる可能性があります。

一方、次のような要件がある場合は、SecureDocを組み合わせる方法を検討できます。

どちらが一律に優れているということではなく、現在の端末管理環境と、自社で必要なセキュリティ・認証・運用要件を整理したうえで判断することが重要です。

 

BitLocker管理を見直す際のチェックポイント

現在のBitLocker運用に問題がないか確認したい場合は、次の項目をチェックしてみてください。

複数の項目について「確認できない」「端末ごとに運用が異なる」という場合は、BitLockerそのものを変更するのではなく、まず管理方法を見直すことが重要です。

 

まとめ

BitLockerは、Windowsに搭載されている有効なドライブ暗号化機能です。

企業で利用する場合に重要なのは、「BitLockerを有効にしたか」だけではありません。暗号化状態、回復キー、暗号方式やポリシー、保護の一時停止、起動時認証、端末・ユーザーなどを継続的に管理し、必要な端末が企業の定めた暗号化状態を維持していることを確認できる仕組みが必要です。

Microsoft Entra IDやIntune、グループポリシー、Configuration Managerなど、Microsoftが提供する管理方法でもBitLockerを企業で運用できます。自社のMicrosoft環境だけで必要な要件を満たせる場合は、それらを利用することも有効です。

一方、BitLockerへSecureDoc独自のプリブート認証を追加したい場合や、BitLocker設定の変更をより厳格に制御したい場合、複数のOSや暗号化方式を一元管理したい場合は、SecureDocを組み合わせる方法もあります。

現在のBitLocker管理に課題がある場合は、SecureDocの活用も含めてご相談ください。

お問い合わせはこちら

 

関連記事

• SecureDoc for Windows
• BitLocker回復キーとは？確認方法やどんな時に必要なのかご紹介
• ディスク暗号化の仕組みとは？メリットや選び方を徹底解説
• プリブート認証が必要な理由
• ディスク暗号化とTPM（セキュリティ考察）
• 暗号化PCが起動しない時の企業向け解決ガイド
• 社外持ち出しPCのセキュリティ対策とは？暗号化・認証・紛失時対応を企業向けに解説