BitLockerでWindows 10のハードドライブを暗号化する完全ガイド

大手通信会社、電力会社、さらには政府機関までもがデータ漏洩の被害に遭っている今、個人ユーザーにできることはあるのでしょうか?実は、いくつかの重要な対策を講じれば、驚くほど高い確率で自分のデータを守ることができます。その対策の一つが、ハードドライブやSSDの暗号化です。

Windows 10には、MicrosoftのBitLocker技術を使って内蔵ドライブを暗号化する機能が備わっています。導入も操作も簡単で、特別なスキルや専用ハードウェアは必要ありません。ただし、利用できるのはWindows 10 Pro、Enterprise、Educationエディションのみです。Windows 10 Homeをお使いの場合は、VeraCryptという優れた暗号化ソフトが選択肢になります。場合によってはBitLockerよりも使いやすいと感じるかもしれません。

BitLockerとは?

暗号化とは、情報を鍵を持っていない人には無意味なデータに変換するプロセスです。BitLockerはハードドライブ上の情報を暗号化し、鍵を入力したときにのみ読み取れるようにします。鍵は、コンピュータに搭載されたTPM(Trusted Platform Module)チップ、鍵を保存したUSBメモリ、または単純なパスワードによって管理されます。もしBitLockerを試してみて気に入らなければ、簡単にオフにすることもできます。

なぜWindowsのハードドライブを暗号化すべきなのか?

あなたがパスワードのベストプラクティスを実践していると仮定しましょう。パスワードは複雑で推測されにくく、書き留めたり他人と共有したりしていない。それでも、誰かがあなたのドライブからデータを取得したいと思えば、Windowsのパスワードがなくても、ハードドライブを取り外して別のコンピュータに接続し、LinuxのLive CDを使ってファイルを復元することが可能です。

しかし、BitLockerを使用していれば、それはできません。BitLockerはどこかから鍵を取得できなければならないからです。理想的なのはTPMから鍵を取得することですが、パスフレーズやBitLocker専用のUSBメモリでも代用できます。

「でも、自分のドライブを盗む人なんていない」と思うかもしれません。では、古いパソコンを捨てたことはありませんか?その際、ハードドライブも一緒に捨てたのではないでしょうか。ハードドライブを適切に廃棄しない限り、誰でもデータを取り出せてしまいます。これは毎日起きていることで、しかも非常に簡単なのです。実際、古いドライブからファイルにアクセスする方法を解説した記事さえ存在します。

BitLockerを使っていれば、ドライブをパソコンから取り外し、本体とドライブを別々に処分するだけで、 casualなデータ窃盗犯の仕事を指数関数的に困難にできます。データを取り出すには、データ復旧の専門家が必要になるでしょう。これで暗号化の必要性を感じていただけたでしょうか?

パソコンにTPMがあるか確認する方法

BitLockerにとって理想的な環境は、TPMを搭載したデバイスです。お使いのデバイスにTPMは搭載されているでしょうか?確認は簡単です。

1. スタートメニューを選択し、「system」または「システム情報」と入力します。最初の検索結果にシステム情報が表示されるので、それを選択します。
2. システム情報ウィンドウが開いたら、下部の「検索する項目:」ボックスに「trusted」と入力し、「検索」を選択するかEnterキーを押します。
3. デバイスにTPMが搭載されていれば、検索結果に表示されます。この例ではTPMが存在し、バージョンは2.0です。このバージョン情報は将来重要になる可能性があります。特にWindows 11ではTPM 2.0が必須要件となっているためです。

TPM搭載デバイスでBitLockerを有効にする方法

お使いのデバイスにTPMがあれば、以下の手順はとてもシンプルです。

1. エクスプローラーを開き、BitLockerで暗号化したいドライブへ移動します。

ドライブを右クリックし、「BitLockerの有効化」を選択します。「BitLockerの初期化中」というメッセージとプログレスバーが表示されることがあります。完了まで待ちましょう。

2. 次に「このドライブのロック解除方法を選択してください」と表示されます。選択肢は2つ。「パスワードを使用してドライブのロックを解除する」か「スマートカードを使用してドライブのロックを解除する」です。ビジネス用途でスマートカードが支給されている場合はそちらを利用してもよいでしょう。そうでなければ、パスワードを選択し、強固で安全なパスワードを作成してください。

このパスワードが必要になるのは、ドライブをこのデバイスから取り外して別のデバイスに接続した場合のみです。通常はTPMが自動的にパスワードを処理するため、暗号化されたドライブは他の機能とシームレスに連携します。

続いて「回復キーのバックアップ方法」を尋ねられます。選択肢は4つあります。

• Microsoftアカウントに保存:Microsoftアカウントでデバイスにログインしている場合、これが最も簡単な方法です。
• USBフラッシュドライブに保存:この方法を選ぶ場合は、そのUSBメモリをこの目的専用にしてください。他のデータを保存しないでください。
• ファイルに保存:この方法を選ぶ場合、暗号化対象のドライブ自体には保存しないでください。別のドライブやクラウドストレージに保存しましょう。
• 回復キーを印刷:この方法を選んだ場合、印刷したキーは火災・盗難・水害から守れる安全な場所に保管する必要があります。キーが必要になった際は手動で入力することになります。

選択した方法によって追加の手順がある場合もありますが、いずれの方法でも最終的に次の画面に進みます。

次のステップでは「ドライブのどの範囲を暗号化するか」を選択します。少し分かりにくいかもしれませんが、暗号化するドライブに何もデータがない場合は「使用済みディスク領域のみを暗号化する」を選びましょう。非常に高速に完了します。以降にドライブへ追加されるデータは自動的に暗号化されます。一方、すでにファイルやフォルダが存在する場合は「ドライブ全体を暗号化する」を選択すれば、既存データもすべて即座に暗号化されます。その後「次へ」を選択します。

次の画面は、使用しているWindowsのバージョンによっては表示されないことがありますが、時間をかけて内容を読んで理解しておくことが重要です。

要約すると、この画面の意味はこうです。もし誰かがこのデバイスからドライブを取り外し、Windows 10 Version 1511より前のバージョンのWindowsに接続しても、ドライブは動作しません。ほとんどの人はそんなことをしないため、通常は「新しい暗号化モード」を選択して「次へ」をクリックすれば問題ありません。

暗号化は重大な作業であり、トラブルが起こる可能性もあります。だからこそ、最後に「このドライブを暗号化する準備はできていますか?」と確認されます。問題なければ「暗号化の開始」を選択しましょう。

BitLockerによる暗号化が完了したら、エクスプローラーに戻ってください。ドライブアイコンに鍵が開いた状態のパドロックマークが表示されているはずです。これは、ドライブが暗号化済みでファイルを受け入れられる状態であることを意味します。パドロックが閉じた状態で表示された場合は、アクセスするためにパスワードの入力が必要です。

TPM非搭載デバイスでBitLockerを有効にする方法

現時点では、デバイスにTPMがなくてもBitLockerでドライブを暗号化する方法があります。ただし、Windows 11へのアップグレードにはTPM 2.0が必須となるため、この状況は今後変わる可能性があります。この方法では管理者権限が必要です。

1. Winキー + Rのキーボードショートカットで「ファイル名を指定して実行」を開きます。「名前」欄に「gpedit.msc」と入力し、「OK」を選択するかEnterキーを押します。これにより「ローカルグループポリシーエディター」が開きます。
2. ローカルグループポリシーエディターが開いたら、「コンピューターの構成」>「管理用テンプレート」>「Windowsコンポーネント」>「BitLockerドライブ暗号化」>「オペレーティングシステムのドライブ」へ移動します。「スタートアップ時に追加の認証を要求する」設定をダブルクリックします。
3. 「有効」を選択し、「OK」をクリックして設定を変更します。「互換性のあるTPMがないBitLockerを許可する」というチェックボックスに注目してください。ここにチェックを入れることで、パスワードやセキュリティキーを使ってBitLockerで暗号化されたドライブにアクセスできるようになります。設定を有効化するためにWindowsを再起動します。
4. 前述のセクションと同じ手順に従って、BitLockerを起動しドライブを暗号化します。警告: Windowsがインストールされているドライブ(Cドライブ)を暗号化した場合、Windowsを起動するたびにパスワードの入力が求められます。パスワードはデバイスとは別の安全な場所に必ず記録しておいてください。
5. 次回Windowsを起動すると、BitLockerがドライブのロック解除のためのパスワード入力を求めてきます。パスワードを入力してEnterキーを押せば、起動が続行されます。

これで安全になったのか?

BitLockerによる暗号化は、データ保護のためのほんの一部にすぎません。プライバシーと個人情報を守るために、あなたは他にどんな対策をしていますか?ぜひ私たちに教えてください。また、当サイトのデータセキュリティおよびプライバシー関連の記事もぜひご覧ください。