Windows 11でBitLocker暗号化を有効にする方法

BitLockerが守るものと必要なもの

BitLockerはボリューム全体——システムファイル、プログラム、あなたのドキュメント——を暗号化し、解除キーは回復キーを意図的に書き出さない限りTPMチップから出ていきません。ノートPCからSSDを抜き取った泥棒が手にするのはノイズであってデータではありません。ディスクへの完全アクセスを持つ起動可能USBですら何も読み取れません。暗号化は透過的に動き、現代のCPUではほぼゼロコストです。今世代のハードウェアでは、つまりすべてのCPUでそうです。

引っかかりはエディションとハードウェアです。完全なBitLockerにはWindows 11 Pro、Enterprise、Educationが必要です。Homeエディションが対応ハードウェアで提供するのは、より軽い「デバイスの暗号化」だけです。さらにTPM 2.0チップとUEFIブート——Windows 11マシンならどれでも標準——そして2年後に本当に見つけられる回復キーが必要です。

• 測定されたブート状態を変えるBIOS、UEFI、TPMファームウェアの更新
• マザーボードやCPUの交換、SSDの別のPCへの移動
• ブート順序やSecure Bootの変更、挿しっ放しの起動可能USB
• メンテナンスのために中断されたまま再開されなかった保護
• TPMに加えて使っているPINを忘れた場合

BitLockerを有効にする手順

コントロール パネル → システムとセキュリティ → BitLockerドライブ暗号化を開きます。最速のルートはスタートで「BitLockerの管理」を検索すること。またはエクスプローラーでドライブC:を右クリックして「BitLockerを有効にする」を選びます。ウィザードはまず48桁の回復キーの保存先を尋ねます：Microsoftアカウント、USBフラッシュドライブ、ファイル、印刷のいずれかです。Microsoftアカウントが最も便利で、aka.ms/myrecoverykeyからいつでも取得できます。唯一重要なルールは、保護対象のドライブに唯一のコピーを置かないことです。

次に「使用済みのディスク領域のみを暗号化する」——日常使用中のドライブなら十分——か「ドライブ全体を暗号化する」——すでにデータを格納したディスクにはこちら——を選び、次回の再起動時にBitLockerシステムチェックを実行するかどうか決めます。再起動後はトレイに鍵のアイコンが現れ、暗号化はバックグラウンドで進みます。進捗は管理者プロンプトでmanage-bde -status C:を使えばいつでも確認できます。最新のNVMeドライブなら全体で通常1時間未満です。事前にひとつ確認を：工場出荷状態の多くのノートPCは、すでにより軽いデバイス暗号化で動いています——設定 → プライバシーとセキュリティ → デバイスの暗号化——ただし完全なウィザードでしか得られないものがあります。それが中断、起動PIN、データドライブの制御です。

有効化後：ファームウェア更新の前に中断、必要なら復号

二つの習慣がBitLockerを無難に保ちます。BIOS/UEFIやTPMファームウェアの更新の前に、同じBitLockerページで「保護を中断」をクリックします。データは暗号化されたままですが、Windowsが測定ブート状態の強制をやめるため、更新が次回起動時の回復プロンプトを引き起こしません。事後に再開するか、単に再起動すれば中断は自動的に終わります。追加のデータドライブはエクスプローラーで右クリックしてBitLockerを有効化し、自動的にロック解除にチェックを入れると、OSドライブと一緒に開くようになります。

BitLockerの完全な除去——「BitLockerを無効にする」——はドライブを丸ごと復号します。古いHDDでは数時間、SSDならずっと短いです。PCを売るなら、「すべて削除」オプション付きのWindowsのリセットがより確実な方法です。そしてWindowsが起動時に回復キーを要求してきたら、当て推しをせずaka.ms/myrecoverykeyから取得してください。誤った試みを繰り返すとドライブから締め出されることがあります。

よくある質問

次に読む記事

すべての記事 · よくある質問