"BitLocker는 설정에서 보이는 '장치 암호화'와 같은 건가?" 그 답이다. 먼저: 암호화 기술은 같고, 다른 것은 제공되는 기능이다. 여기에 공격 절차는 없다.
같은 암호화 기술, 다른 기능
자동·라이트(Home 가능)
완전 제어(Pro+)
차이를 한눈에
| 항목 | 장치 암호화 | BitLocker |
|---|---|---|
| 에디션 | Home에서 동작 | Pro / Enterprise / Education |
| 켜기 | 조건 충족 시 자동(MS 계정) | 수동으로 활성화/구성 |
| 옵션 | 최소(대체로 손 안 댐) | 풍부(방식, 범위, 운영) |
| 시작 PIN | 사실상 없음 | 가능(도난 저항 강화) |
| 외장/USB 암호화 | 불가 | 가능, BitLocker To Go |
| 복구 키 저장 | MS 계정에 자동 위탁 | 저장 위치를 직접 선택 |
| 관리 명령 | 거의 없음 | manage-bde로 세밀 제어 |
| 기본 암호 방식 | XTS-AES 128비트 | 기본값은 같음, 그룹 정책으로 변경 가능 |
| 회사·학교 PC | 복구 키는 Entra ID / Active Directory로 | 조직의 정책으로 관리 |
| 암호화 효과(핵심) | 동일(저장 데이터 보호) | 동일 |
내 PC는 어느 것을 쓰나? 확인하는 법
설정에서 '장치 암호화'를 찾아라
Pro+에서는 'BitLocker 관리'를 열어라
명령으로 상태 확인
manage-bde -status 를 실행해 암호화 여부와 방식을 나열한다.복구 키 위치를 반드시 확인
'암호화되어 있다'와 '보호되어 있다'는 다르다
가장 놓치기 쉬운 점이다. Microsoft의 설명에 따르면 장치 암호화는 Windows 설정이 끝나면 암호화를 시작하지만, 처음에는 잠금이 없는 '클리어 키' 를 쓴다. 이는 일시 중단된 BitLocker와 같은 상태다. 드라이브 내용은 암호문이지만, 키는 누구나 쓸 수 있는 곳에 있다.
보호가 켜지는 것은 다음 중 하나가 일어난 뒤다.
- 개인 PC: 관리자가 Microsoft 계정으로 로그인하고, 복구 키가 그 계정에 저장된다
- 회사·학교 PC: 복구 키가 Microsoft Entra ID 또는 Active Directory에 저장된다
로컬 계정만 쓰는 PC에 대해 Microsoft는 "데이터는 암호화되어 있지만 보호되지 않는다"고 쓰고 있다. 이 상태에서는 도둑이 드라이브를 읽을 수 없다는 본래의 효과를 얻지 못한다.
| 확인할 곳 | 보호됨 | 암호화되어 있지만 보호되지 않음 |
|---|---|---|
| 파일 탐색기의 C: 드라이브 | 자물쇠 아이콘 | 노란색 경고 아이콘 |
manage-bde -status 의 "Protection Status"(보호 상태) | Protection On | Protection Off |
| 복구 키 | Microsoft 계정 등에 저장됨 | 어디에도 저장되지 않음 |
설정 위치(Windows 11)
Home에서는 "장치 암호화"가 설정 → 개인 정보 및 보안 → 장치 암호화에 있다. 항목이 없다면 시스템 정보(msinfo32)를 관리자로 열고 "Device Encryption Support"(장치 암호화 지원) 행을 확인한다. "Meets prerequisites"(필수 조건 충족)가 아니라면, 그 이유가 그 자리에 표시된다.
Windows 11 버전 24H2부터는 요구 사항이 완화되어(Modern Standby/HSTI와 DMA 포트 조건이 제외됨), 새로 설치한 PC가 자동으로 암호화되는 경우가 늘었다.
상황별: 무엇을 하면 되나
| 내 상황 | 할 일 |
|---|---|
| Home, Microsoft 계정으로 로그인 | "장치 암호화"가 켜져 있는지, 복구 키가 계정에 저장되어 있는지 확인한다 |
| Home, 로컬 계정만 사용 | 암호화되어 있지만 보호되지 않았을 수 있다. manage-bde -status 의 "Protection Status"를 확인한다. 보호하려면 관리자 Microsoft 계정으로 한 번 로그인한다 |
| Pro, 개인 사용 | "BitLocker 관리"에서 켜고, 복구 키를 PC 바깥(Microsoft 계정, 인쇄물, USB)에 보관한다 |
| 회사·학교에서 지급한 PC | 설정을 직접 바꾸지 않는다. 복구 키는 조직이 갖고 있으니 IT 담당자에게 문의한다 |
| USB 메모리나 외장 드라이브도 암호화하고 싶다 | 장치 암호화는 대상이 아니다. BitLocker To Go(Pro 이상)를 쓴다 |
| 민감한 데이터를 들고 다니거나 도난이 걱정된다 | Pro 이상에서 시작 PIN(TPM + PIN)을 추가한다 |
흔한 실수와 대처
복구 키 화면이 나와서 암호화를 끈다
복구 키를 PC 안의 파일로만 보관한다
BIOS 업데이트나 수리 전에 아무것도 하지 않는다
외장 드라이브도 암호화되어 있다고 생각한다
어느 쪽이면 충분한가?
장치 암호화로 충분할 때가 많다(개인)
- 목표는 "분실 시 도둑이 내용을 못 읽게"
- 자동으로 켜져 있다면 이미 그 핵심 효과를 얻는다
- 암호화된 상태에 도달하는 것이 최우선
BitLocker가 필요할 때(Pro)
- 도난 저항을 위해 시작 PIN을 원함
- 외장/USB 드라이브를 암호화하고 싶음(To Go)
- 방식과 운영의 세밀한 제어를 원함
모르는 사이 암호화됐을 수 있다 — 지금 복구 키를 확인하라
최근 Windows는 지원되는 Home PC에서도 초기 설정 중 '장치 암호화'를 자동으로 켜는 경우가 늘고 있다. 편리하지만 — 암호화된 줄 모르면, TPM 변경이나 하드웨어 교체 시 복구 키를 요구받아 자기 데이터에서 잠겨버릴 수 있다. 지금 복구 키가 Microsoft 계정에 위탁되어 있는지(혹은 안전한 곳에 보관되어 있는지) 확인하라.
본 사이트의 견해: 제품 이름이 아니라 '상태'를 보라
개인에게 "BitLocker냐 장치 암호화냐"는 핵심이 아니다. 중요한 것은 단 두 가지다: 저장 데이터가 암호화되어 있고, 복구 키가 PC 바깥에 보관되어 있는 것. 그 상태에 이르면, 이름이 무엇이든 분실·도난은 "하드웨어만 잃었다"로 끝난다. 반대로, 완전한 BitLocker라도 복구 키를 잃으면 당신도 잠긴다.
본 사이트는 "어느 기능이냐"가 아니라 "내 PC가 어떤 상태인가(암호화? 복구 키?)"를 확인하는 습관을 권한다.
다음으로 읽기
- 용어집: BitLocker(디스크 암호화)란 무엇인가
- 이동 중: 들고 다니는 노트북 지키기
- 점검: 보안 인벤토리
- 복구 키: BitLocker가 복구 키를 요구할 때 · 끄기: BitLocker를 끄는 방법
출처(공식)
2026년 10월 6일에 Microsoft 공식 문서와 대조했다(Windows 11 버전 24H2 이상 기준).
- Microsoft Learn, "BitLocker overview"(장치 암호화, 클리어 키, 로컬 계정, 24H2 요구 사항 변경, XTS-AES 128비트) — learn.microsoft.com
- Microsoft Support, "Device encryption in Windows"(설정 위치, Home에서의 이용 가능 여부) — support.microsoft.com
- Microsoft Learn, "BitLocker countermeasures"(TPM + PIN, BIOS/UEFI 변경 후의 복구 모드) — learn.microsoft.com