端末の情報漏えい対策としてBitLockerによるディスク暗号化を有効にしている組織は多く、監査や取引先からの確認票でも「暗号化済み」と回答できる項目です。ただし、暗号化が効く場面は限定されており、認証の弱さを埋めるものではありません。この記事では、その境界を具体的に整理します。

暗号化が実際に効く場面

BitLockerが守るのは電源が入っていない端末から、ディスクの中身を直接読み出されるケースです。具体的には次のような場面です。

いずれも共通しているのは、攻撃者が物理的にディスクを手にしていて、OSを起動させずに読もうとしている点です。この状況では暗号化が確実に効きます。持ち出し端末が多い組織では、有効にすべき対策です。

暗号化が効かない場面

一方、次の場面では暗号化は関与しません。

正規の利用者としてログインされた場合 — IDとパスワードが盗まれ、攻撃者がその端末にログインした。OSが起動して復号された状態なので、暗号化は透過的に外れています
ネットワーク越しの侵入 — 社内サーバーやリモート接続の入口から入られた場合。端末のディスクは関係ありません
ランサムウェアによる暗号化 — 攻撃者は復号された状態のファイルにアクセスできるため、その上からさらに暗号化できます
利用者自身による持ち出し — ログイン済みの利用者がファイルをUSBメモリやクラウドにコピーする行為は止まりません

ここが誤解されやすい点です。BitLockerは「ログインする前」を守る仕組みであり、ログインしたあとの世界には作用しません。そして実際の侵害の多くは、盗まれた認証情報を使ってログインする形で起きます。

確認票やチェックリストでは「ディスク暗号化：有効」の1行で済むため、それが対策全体を満たしたように見えます。しかし、この項目が答えているのは端末を物理的に失ったときの備えだけです。

認証がIDとパスワードのみの構成では、パスワードが漏れた時点で攻撃者は正規の手順で端末に入れます。暗号化はその入り方に対して何もしません。暗号化と認証は、守っている場面が重なっていないため、片方で他方を代替できません。

逆も同じです。認証を強化しても、電源が切れた端末を持ち去られてディスクを外されれば、暗号化していなければ中身は読まれます。両方必要であり、どちらかで足りる関係にはありません。

BitLockerは有効か無効かの2択ではなく、起動時に何を要求するかで性格が変わります。ここを把握していないと、有効にしていても想定した保護が得られていない場合があります。

TPMのみ — 起動時に利用者への要求は何もなく、自動的に復号されてログイン画面まで進みます。ディスクを取り外して別のPCにつなぐ攻撃は防げます。ただし端末ごと持ち去られた場合、電源を入れればログイン画面まで到達するため、その先はログインの強度に依存します
TPM＋PIN — 起動時にPINの入力を求めます。端末ごと持ち去られても、PINを知らなければログイン画面にすら到達しません。利用者の手間は増えます
USBキー併用 — 起動時に特定のUSBデバイスを要求します。鍵の持ち運びと保管の運用が必要になります

多くの組織が利便性を理由にTPMのみを選びます。これは妥当な判断ですが、その構成では端末ごと盗まれた場合の防御はログイン認証が担うという前提を認識しておく必要があります。つまりTPMのみを選んだ組織ほど、ログイン側の強度が重要になります。

BitLockerには、ハードウェア構成が変わった場合などに復号するための回復キーがあります。運用上、この保管方法が問題になることがあります。

3つ目の状態では、社内の誰か、あるいは社内に侵入した攻撃者が一覧を取得できます。回復キーの一覧は、暗号化そのものを無効化できる情報なので、アクセスできる範囲を限定する必要があります。共有フォルダの権限が広すぎる問題はアカウントの権限管理で扱っています。

暗号化と認証の両方が必要だとして、順序をつけるなら判断基準は自社でどちらの事象が起きやすいかです。

認証側の具体的な方式と選び方はWindows/Windows Server OSログインの二要素認証で解説しています。ログイン画面に到達されたあとで何が要求されるかが、暗号化がカバーしない範囲を埋める部分になります。

回復キーが実際にどこに保管されているか、確認する手順は BitLockerの回復キーを確認する方法にまとめています。

暗号化の設定状況と、認証がIDとパスワードのみになっている箇所は、別々に確認する必要があります。片方だけを見て対策済みと判断すると、もう片方が空いたまま残ります。

自社のID・パスワード管理の状況は、無料の診断で確認できます。所要は約3分で、入力が必要な項目はありません。