Windowsのファイル暗号化には、ドライブ全体を守るBitLockerと、ファイルごとに守るEFSがあり、ノートパソコンの紛失に備えるならBitLockerを使います。EFSは、同じPCを複数の人が使うときに、利用者どうしで中身を分ける場面で足します。
今日やることは、社内のノートパソコンを1台開いて、暗号化が有効かを確かめることです。Windows Proなら、BitLockerの状態を見ます。Windows Homeなら、設定の[プライバシーとセキュリティ]にある[デバイスの暗号化]を見ます。あわせて、回復キーがどこに保管されているかを確かめます。
BitLockerとEFSは、何が違う？
BitLockerの概要によると、BitLockerはボリューム全体を暗号化し、紛失、盗難、不適切な廃棄によるデータの盗難や漏えいの脅威に対処する機能です。EFSの説明によると、EFSはNTFSボリューム上の個々のファイルを暗号化します。
| 比べる点 |
BitLocker |
EFS |
| 守る範囲 |
ボリューム全体 |
指定したファイルとフォルダー |
| 想定する場面 |
PCの紛失、盗難、廃棄 |
同じPCの利用者どうしの分離 |
| 使えるWindows |
Pro、Enterprise、Educationなど |
Homeでは使えない |
| 鍵の持ち主 |
端末（TPMなど） |
利用者ごと |
| 社員の操作 |
有効にすれば、ファイルごとの操作は不要 |
ファイルごとに指定する |
BitLockerのFAQは、両者の関係を説明しています。BitLockerはオペレーティングシステムのドライブ全体をオフラインの攻撃から守り、EFSは同じコンピューターの複数の利用者の間で、ファイル単位の分離を足せるとしています。どちらかを選ぶ話ではなく、役割が違うので併用できます。
ノートパソコンの紛失には、なぜBitLockerなのか？
紛失したPCでは、ハードドライブを別の機器に移して読まれるおそれがあると、Microsoftは説明しています。この場面では、社員が暗号化するファイルを選ばなくても、ボリューム全体が守られるBitLockerが合います。
EFSでは、暗号化の対象を人が決めます。デスクトップに置いた一時ファイルや、暗号化し忘れたフォルダーは対象の外です。EFSの説明には、圧縮ファイル、システムファイル、システムディレクトリ、ルートディレクトリは暗号化できないとも書かれています。紛失への備えをEFSだけに任せるのは、運用の面で無理があります。
BitLockerは、TPMと組み合わせると最大限の保護になると説明されています。TPMに加えて、起動時のPINを求める設定にもできます。持ち出しの多いPCでは、PINまで要るかを社内で決めます。
概要のページは、デバイスの使用停止やリサイクルのときにデータへアクセスできなくする効果も挙げています。IPAの解説書は、記録媒体を復元不可能な方法で消去し、リース品は初期化してから返却するよう求めています。リース品のノートパソコンが多い会社は、返却の手順と一緒に決めます。
Windows Homeで買ったPCがある場合
Microsoftのサポートページは、ファイルの暗号化はHomeエディションでは利用できないと案内しています。Homeで使えるのはデバイスの暗号化で、ローカルアカウントで使っていると自動では有効になりません。TPMが使えないなどの理由で、項目が出ないPCもあります。BitLockerの概要によると、Windows 11のバージョン24H2以降は前提条件の一部が外れ、対象のデバイスが増えています。
EFSは、どんな場面で足す？
たとえば、工場の詰所や検査室で1台のPCを複数の担当者が共用する場合です。BitLockerは電源を入れて利用者がログインしたあとの、利用者どうしの分離を目的にしていません。給与や健康情報のように、同じPCの他の担当者に見せないファイルがあるなら、EFSで足すか、そもそも共用PCに置かない運用を考えます。
ただし、共用PCに秘密のファイルを置かないほうが、管理は簡単です。EFSの鍵は利用者に結びつきます。Microsoftの資料は、ファイルの復号には対応するEFSの秘密鍵が必要と説明し、回復エージェントの秘密鍵をバックアップする手順を載せています。人の異動やPCの入れ替えまで考えると、鍵の管理を決めないまま社員に使わせるのは避けます。
回復キーは、どこに置く？
BitLockerの運用で一番の注意点は、回復キーです。BitLockerの回復の説明には、回復モードに入る例として、間違ったPINの入力回数が多すぎる場合、BIOSやUEFIのアップグレード、TPMのクリア、ドライブを別のPCへ移す場合などが挙がっています。紛失のときだけ必要になるものではありません。
回復キーを見つける手順によると、見つからず変更も元に戻せないときは、デバイスのリセットが必要で、すべてのファイルが削除されます。保管先は次のように決めます。
- Microsoft Entra IDに参加したPC：Microsoft Entra IDへ
- Active Directoryに参加したPC：Active Directory Domain Servicesへ
- どちらでもないPC：会社で管理するアカウントか、印刷して施錠保管
社員の個人のMicrosoftアカウントに鍵が入ると、退職や異動のときに会社が取り出せなくなるおそれがあります。概要のページは、組織に参加していないPCでは、回復キーが管理者のMicrosoftアカウントにアップロードされると説明しています。誰のアカウントでセットアップしたかを、台帳に書いておきます。
回復キーをPCと一緒に鞄へ入れない、といった決めごとも社内のルールに足します。BitLockerのキーをUSBメモリに保存している場合は、そのUSBの置き場所も決めます。
暗号化していれば、紛失しても報告は要らない？
一律には言えません。個人情報保護委員会のQ&A（Q6-19）は、報告を要しない「高度な暗号化等の秘匿化」にあたるには、第三者が読める状態にすることが困難な技術的措置に加え、読める状態にする手段が適切に管理されていることが必要と解されるとしています。
ここでも回復キーの管理が効いてきます。PCと一緒に回復キーを紛失したのでは、手段を適切に管理していたと言いにくくなります。紛失が起きたら、暗号化の有無にかかわらず、責任者に連絡して、どの設定だったかを記録します。
BitLockerだけでは守れないものは？
BitLockerが守るのは、電源が入っていないPCや、別の機器に移されたディスクの中身です。次の場面は別の手当てが要ります。
- メールで送ったファイル：相手の手元では暗号化されていません。ファイル暗号化・ディスク暗号化の比較で、ファイルごとに鍵をかける製品を見ます
- USBメモリ：デバイスの暗号化はUSBドライブを暗号化しません。BitLockerにはBitLocker To Goがあります。USBの利用そのものを管理するならUSB・デバイス制御の比較を見ます
- ログインした状態のPCでの攻撃：ウイルス対策やEDRの領域です。エンドポイントセキュリティの比較で確かめます
有効化と管理も別の話です。Microsoftは、有効化のライセンス要件と管理のライセンス要件は異なると注記しています。台数が増えて状態を一覧で見たくなったら、管理の方法を検討します。持ち出しの経路全体の整理は情報漏えい対策ツールの種類と順番にあります。紛失が統計の中でどのくらいの位置にあるかは個人情報漏えいの原因の統計にまとめました。情報漏えい対策のカテゴリもあわせてどうぞ。
