本文へスキップ
ITDセキュリティ対策プラットフォーム
目的から探す
検索
用語辞典12分で読める

BitLockerとは：Windowsのディスク暗号化で、盗難・紛失時にデータを守る

BitLockerはWindows内蔵のディスク暗号化機能で、PCやドライブを盗まれても資格情報か回復キーが無ければ中身を読めません。仕組みと有効化の手順、最も注意すべき回復キーの保管を解説します。

本文を読む
#BitLocker#ディスク暗号化#Windows#盗難対策
公開日
更新日
目次

ノートPCを落としたり盗まれたりしたときに、中のデータを守るのがBitLockerです。仕組みと有効化の手順、そして最も間違えやすい回復キーの保管までを解説します。

何を守り、何を守らないか

暗号化は万能ではありません。効く場面を正しく押さえます。

状況BitLockerは効く？
ノートPCを紛失・盗難（電源オフ）◎ 中身は暗号文。資格情報/回復キー無しでは読めない
ドライブだけ抜いて別PCに接続◎ 同上。物理的に持ち去っても無意味
ログイン済みで使用中のPCを覗かれる/操作される✗ 守らない（→ 強いログイン＋自動ロックの領域）
マルウェア感染・フィッシング✗ 守らない（別の対策が必要）

仕組み（ざっくり）

起動：TPMが鍵を保持＋あなたのログイン（任意でPIN）で解錠
↓ 正規の起動なら自動で中身が読める
通常利用：透過的に暗号化／復号（体感の遅さはほぼ無い）
↓ だがドライブを抜く・別PCに挿すと
鍵が無い＝ただの暗号文。回復キーを求められる
ドライブの中身は常に暗号化。起動時にTPM（＋任意のPIN）で解錠する。抜き取られた状態では、ただの暗号文。

鍵はTPM（PCのセキュリティチップ）が保持し、ハードウェアの整合性に結びつけて起動時に解錠します。より強くするには、起動時にPINを要求する設定にできます。

最も注意すること：回復キーの保管

BitLockerで実際に困るのは「破られること」より、自分が締め出されることです。

回復キーを失うと、自分のデータが二度と開かない

TPMの状態変化・マザーボード交換・ファーム更新などで、BitLockerが48桁の回復キーを求めることがあります。これを控えていないと、正規の持ち主であるあなたが自分のデータから締め出されます。保管の原則は「暗号化したPCの外に置く」こと。同じPCの中だけに保存しても、ロックアウト時に取り出せません。

有効化の手順

1

エディションを確認

Pro/Enterprise/Education は BitLocker。Home は『デバイスの暗号化』（対応ハードウェアで自動）。設定の検索で「BitLocker」または「デバイスの暗号化」。
2

有効化し、回復キーを“外”に保存

Microsoftアカウントへの保存・印刷・別の安全な保管先のいずれかへ。暗号化するPCの中だけに置かない。
3

より強くするならPINを要求

起動時PINを設定すると、電源を入れただけでは解錠されない。盗難時の強度が上がる。
4

外付け・USBにはBitLocker To Go

持ち出す外付けドライブやUSBメモリも暗号化する。紛失時のデータ流出を防ぐ。

自分のPCで確認する方法

「暗号化されているはず」と思い込まず、状態と回復キーの保管先を実際に確かめます。

1

暗号化がオンかを見る

Windows 11 は「設定 → プライバシーとセキュリティ → デバイスの暗号化」、Pro 以上は「コントロールパネル → BitLocker ドライブ暗号化」で、ドライブごとの状態を確認できます。
2

コマンドで詳しく見る

管理者のターミナルで manage-bde -status を実行すると、ドライブごとに「保護状態（Protection Status）」「暗号化の方式」「暗号化済みの割合」が出ます。保護がオフ（Protection Off）なら、暗号化されていても守られていません。
3

回復キーの保管先を見る

個人の Microsoft アカウントに保存した場合は、別の端末から Microsoft アカウントのデバイス一覧で回復キーを確認できます。会社の PC は Microsoft Entra ID などに保存されていることが多いので、管理者に確認します。manage-bde -protectors -get C: で表示される回復キーの ID と照合しておくと、いざというときに迷いません。
4

BIOS 更新の前は一時停止

BIOS/UEFI の更新や TPM の設定変更は、回復キーを求められる代表的な原因です。予定している作業の前に BitLocker を「保護の中断」にしておくと、暗号化は保ったまま回復キーの入力を避けられます（再起動すると自動で保護が再開します）。

ローカルアカウントだけのPCは、暗号化されていても保護されていないことがある

Microsoft の説明では、デバイスの暗号化は最初、鍵がそのまま置かれた「中断」と同じ状態で始まります。Microsoft アカウント（会社の PC なら Entra ID など）に回復キーが保存された時点で、保護が有効になります。ローカルアカウントだけで使っている PC は、データが暗号化されていても保護されていない状態のままです。上の manage-bde -status で保護状態を確かめてください。

具体例：回復キーが一斉に必要になった2024年の障害

2024年7月、ある企業向けセキュリティ製品の更新が原因で、多くの Windows 端末が起動できなくなりました。Microsoft は、影響を受けた端末を約850万台と推計しています。

Microsoft が公開した復旧手順では、セーフモードや回復環境から起動して作業する必要があり、その途中で BitLocker の回復キーの入力を求められる場合があると案内されました。回復キーをどこに保存したか分からない端末は、そこで復旧作業が止まります。

回復キーが必要になるのは、盗難のときだけではありません。この例から、次の準備が役に立つと分かります。

  • 回復キーは「端末の外」で、かつ「すぐ探せる場所」に置く（個人なら Microsoft アカウント、組織なら Entra ID や Active Directory）
  • 端末名と回復キーの ID を対応付けておく
  • 回復キーを見られる人を決めておく（回復キーを持つ人は、そのドライブの中身をすべて読めます）

回復キーの探し方は BitLocker 回復キーの確認方法 にまとめています。

似た機能との違い

機能何を暗号化するか主な対象
BitLockerOS ドライブ・内蔵ドライブ（BitLocker To Go で外付けや USB も）Windows Pro / Enterprise / Education
デバイスの暗号化OS ドライブと内蔵ドライブ（外付けや USB は対象外）Windows Home を含む対応機種。中身は同じ BitLocker の仕組み
FileVault起動ディスクmacOS
EFS（暗号化ファイルシステム）個別のファイルやフォルダーWindows。ディスク全体は守らない

BitLocker とデバイスの暗号化の細かな違い（設定画面、使える保護方法など）は BitLocker とデバイス暗号化の違い で比べています。BitLocker を止めたいときの手順と注意点は BitLocker の解除（無効化）方法 にあります。

当サイトの視点：持ち出すデバイスの最低限の対策

ディスク暗号化は、外に持ち出すデバイスにとって最低限の対策です。ノートPCの中には、保存したパスワード・SSH鍵・業務ファイルなど「漏れたら連鎖する」ものが詰まっています。暗号化していなければ、盗まれた瞬間にドライブを抜かれて全部読まれる。BitLocker（MacならFileVault）を有効にし、回復キーをPCの外に控える。この2点だけで、紛失・盗難の被害は「機器そのものを失っただけ」で済みます。ただし暗号化は電源オフの状態の守りなので、強いログイン＋自動ロックと必ずセットにしてください。

次に読む

出典（一次情報）

  • Microsoft Learn「BitLocker overview」 — learn.microsoft.com（対応エディション、TPM と PIN、デバイスの暗号化の条件と回復キーの保存、Windows 11 24H2 での要件緩和、既定の XTS-AES 128）
  • Microsoft Learn「BitLocker recovery overview」 — learn.microsoft.com（回復を求められる原因、48桁の回復パスワード、保存先、保護の中断と再開）
  • Microsoft 公式ブログ（2024年7月20日、この障害への対応） — blogs.microsoft.com（影響を受けた端末数の推計）
  • Microsoft サポート「KB5042421」（この障害の復旧手順） — support.microsoft.com（復旧時に回復キーを求められる場合があること）

よくある質問

QBitLockerは何から守ってくれますか？
A

電源を切った状態や、ドライブを物理的に抜かれた状態のデータ（保存時のデータ）を守ります。ノートPCを盗まれても、ディスクだけ抜かれても、あなたの資格情報か回復キーが無ければ中身は暗号文のままで読めません。一方、すでにログインして使用中のPCは守れません（その場合は強いログインと自動ロックが効きます）。

Q一番気をつけることは？
A

回復キー（48桁の番号）の保管です。BitLockerはハードウェアの状態に鍵を結びつけるため、TPMの状態変化やマザーボード交換などで回復キーを求められることがあります。これを失うと、あなた自身が自分のデータから締め出されます。Microsoftアカウント・印刷・別の安全な場所など、暗号化したPCの“外”に必ず控えてください。

QWindows Homeでも使えますか？
A

BitLocker本体はWindows Pro/Enterprise/Education向けです。Windows Homeには対応ハードウェアで自動的に有効になる『デバイスの暗号化』という軽量版があり、考え方は同じ（保存時データの暗号化）です。Macの相当機能はFileVaultです。

QBitLockerが有効になっているか確認するには？
A

Windows 11 なら『設定 → プライバシーとセキュリティ → デバイスの暗号化』、Pro 以上なら『コントロールパネル → BitLocker ドライブ暗号化』で確認できます。詳しく見るには、管理者のターミナルで manage-bde -status を実行し、『保護状態』がオンになっているかを見ます。暗号化済みでも保護がオフなら、盗難時に守られません。

QBitLockerの回復キーはどこにありますか？
A

個人の PC で Microsoft アカウントにサインインして暗号化した場合、回復キーは Microsoft アカウントに自動で保存されていることが多く、別の端末からデバイス一覧で確認できます。会社の PC は Microsoft Entra ID や Active Directory に保存されているので、IT 管理者に問い合わせます。印刷やファイルで保存した場合は、その控えを探します。手順は当サイトの『BitLocker 回復キーの確認方法』にまとめています。

Qなぜ突然、回復キーを求められるのですか？
A

BitLocker は、起動にかかわる部品の状態が前回と同じかを TPM で確かめています。BIOS/UEFI の更新、TPM の設定変更、マザーボードの交換、起動順序の変更、PIN の入力ミスの繰り返しなどで状態が変わると、本人確認として回復キーを求めます。予定している BIOS 更新の前に『保護の中断』をしておくと避けられます。