端末の情報漏えい対策としてBitLockerによるディスク暗号化を有効にしている組織は多く、監査や取引先からの確認票でも「暗号化済み」と回答できる項目です。ただし、暗号化が効く場面は限定されており、認証の弱さを埋めるものではありません。この記事では、その境界を具体的に整理します。
暗号化が実際に効く場面
BitLockerが守るのは電源が入っていない端末から、ディスクの中身を直接読み出されるケースです。具体的には次のような場面です。
- 端末の紛失・盗難 — 持ち出したノートPCを紛失した。拾った人がディスクを取り外し、別のPCにつないで中身を読もうとする
- 廃棄・返却時の残存データ — リース返却や廃棄に出した端末から、消し忘れたデータを読み出される
- 修理時の持ち出し — 修理業者に預けた端末のディスクが第三者の手元で読まれる
いずれも共通しているのは、攻撃者が物理的にディスクを手にしていて、OSを起動させずに読もうとしている点です。この状況では暗号化が確実に効きます。持ち出し端末が多い組織では、有効にすべき対策です。
暗号化が効かない場面
一方、次の場面では暗号化は関与しません。
- 正規の利用者としてログインされた場合 — IDとパスワードが盗まれ、攻撃者がその端末にログインした。OSが起動して復号された状態なので、暗号化は透過的に外れています
- ネットワーク越しの侵入 — 社内サーバーやリモート接続の入口から入られた場合。端末のディスクは関係ありません
- ランサムウェアによる暗号化 — 攻撃者は復号された状態のファイルにアクセスできるため、その上からさらに暗号化できます
- 利用者自身による持ち出し — ログイン済みの利用者がファイルをUSBメモリやクラウドにコピーする行為は止まりません
ここが誤解されやすい点です。BitLockerは「ログインする前」を守る仕組みであり、ログインしたあとの世界には作用しません。そして実際の侵害の多くは、盗まれた認証情報を使ってログインする形で起きます。
「暗号化済みだから安全」が成り立たない理由
確認票やチェックリストでは「ディスク暗号化：有効」の1行で済むため、それが対策全体を満たしたように見えます。しかし、この項目が答えているのは端末を物理的に失ったときの備えだけです。
認証がIDとパスワードのみの構成では、パスワードが漏れた時点で攻撃者は正規の手順で端末に入れます。暗号化はその入り方に対して何もしません。暗号化と認証は、守っている場面が重なっていないため、片方で他方を代替できません。
逆も同じです。認証を強化しても、電源が切れた端末を持ち去られてディスクを外されれば、暗号化していなければ中身は読まれます。両方必要であり、どちらかで足りる関係にはありません。
構成別に保護の性格が変わる
BitLockerは有効か無効かの2択ではなく、起動時に何を要求するかで性格が変わります。ここを把握していないと、有効にしていても想定した保護が得られていない場合があります。
- TPMのみ — 起動時に利用者への要求は何もなく、自動的に復号されてログイン画面まで進みます。ディスクを取り外して別のPCにつなぐ攻撃は防げます。ただし端末ごと持ち去られた場合、電源を入れればログイン画面まで到達するため、その先はログインの強度に依存します
- TPM＋PIN — 起動時にPINの入力を求めます。端末ごと持ち去られても、PINを知らなければログイン画面にすら到達しません。利用者の手間は増えます
- USBキー併用 — 起動時に特定のUSBデバイスを要求します。鍵の持ち運びと保管の運用が必要になります
多くの組織が利便性を理由にTPMのみを選びます。これは妥当な判断ですが、その構成では端末ごと盗まれた場合の防御はログイン認証が担うという前提を認識しておく必要があります。つまりTPMのみを選んだ組織ほど、ログイン側の強度が重要になります。
回復キーの保管が実務上の弱点になる
BitLockerには、ハードウェア構成が変わった場合などに復号するための回復キーがあります。運用上、この保管方法が問題になることがあります。
- キッティング手順の一部として印刷し、端末と同じ場所に保管している
- 共有フォルダのExcelに端末名と対応させて一覧で置いてある
- そのファイルに全社員がアクセスできる
3つ目の状態では、社内の誰か、あるいは社内に侵入した攻撃者が一覧を取得できます。回復キーの一覧は、暗号化そのものを無効化できる情報なので、アクセスできる範囲を限定する必要があります。共有フォルダの権限が広すぎる問題はアカウントの権限管理で扱っています。
どちらを先に手当てするか
暗号化と認証の両方が必要だとして、順序をつけるなら判断基準は自社でどちらの事象が起きやすいかです。
- 持ち出し端末が多く、紛失の報告が実際にある — 暗号化を優先し、TPMのみからPIN併用への変更も検討する
- 端末は社内に据え置きで、社外からの接続経路がある — 認証側を優先する。紛失の起きにくい構成であり、侵入経路は認証を通る
- どちらも該当する — 暗号化は設定変更で完了する一方、認証方式の変更は方式選定と検証が必要なため、暗号化を先に片付けて認証の検討を並行して始める
認証側の具体的な方式と選び方はWindows/Windows Server OSログインの二要素認証で解説しています。ログイン画面に到達されたあとで何が要求されるかが、暗号化がカバーしない範囲を埋める部分になります。
回復キーが実際にどこに保管されているか、確認する手順は BitLockerの回復キーを確認する方法にまとめています。
いまの運用を棚卸ししてみる
暗号化の設定状況と、認証がIDとパスワードのみになっている箇所は、別々に確認する必要があります。片方だけを見て対策済みと判断すると、もう片方が空いたまま残ります。
いまのPCログイン運用で何が残っているかは、applippliの無料棚卸しで確認できます。10問・約3分で、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧になります。入力欄はありません。