BitLocker実務ガイドの知識マップ(知識グラフ)
type: Dataset

BitLocker
type: Concept
definition: ドライブ全体を暗号化して紛失・盗難・不適切な廃棄によるデータ流出を防ぐWindowsの機能。
alternative label: BitLockerドライブ暗号化
uses: XTS-AES
prevents: 紛失・盗難によるデータ流出
configured by: グループポリシー
configured by: Microsoft Intune
verified by: manage-bde
requires: Windows Pro/Enterprise系エディション

回復キー(回復パスワード)
type: Concept
definition: BitLockerの通常の解錠ができないときにドライブを解錠する48桁の数字。
alternative label: BitLocker回復キー
alternative label: 48桁の回復パスワード
verified by: 回復キーID
verified by: manage-bde

TPM
type: Concept
definition: 暗号鍵を外部に出さずに保護し、起動環境の改ざん検証を担うセキュリティモジュール。
alternative label: Trusted Platform Module
alternative label: セキュリティチップ

XTS-AES
type: Concept
definition: BitLockerが既定で使うブロック暗号の動作モード。
alternative label: XTS-AES 128

紛失・盗難によるデータ流出
type: Concept
definition: PCやディスクの紛失・盗難・不適切な廃棄によって保存データが第三者に読まれること。
alternative label: 情報漏えい(紛失・盗難)

デバイスの暗号化
type: Concept
definition: 要件を満たすPCでBitLockerによる暗号化を自動的に初期化する簡易機能。
alternative label: Device Encryption
alternative label: 自動デバイス暗号化
broader: BitLocker
automates: BitLocker
requires: TPM
requires: UEFIセキュアブート
uses: クリアキー
verified by: msinfo32(システム情報)

UEFIセキュアブート
type: Concept
definition: 署名検証に通ったブートコンポーネントだけを起動させるUEFIの仕組み。
alternative label: セキュアブート
alternative label: Secure Boot

Microsoft Entra ID
type: Concept
definition: Microsoftのクラウド型ID・アクセス管理基盤。
alternative label: Entra ID
alternative label: Azure AD
alternative label: Azure Active Directory

Active Directory(AD DS)
type: Concept
definition: オンプレミスのWindowsドメインを構成するディレクトリサービス。
alternative label: AD DS
alternative label: Active Directory Domain Services
alternative label: オンプレAD

Microsoftアカウント
type: Concept
definition: 個人向けサービスにサインインするためのMicrosoftのアカウント。
alternative label: MSアカウント

BitLocker回復モード
type: Concept
definition: 起動環境の変化などで通常の解錠ができず、回復キーの入力を求められる状態。
alternative label: 回復画面
requires: 回復キー(回復パスワード)

ファームウェア更新
type: Concept
definition: PCのBIOS/UEFIファームウェアを更新する作業。
alternative label: BIOS更新
alternative label: UEFI更新

グループポリシー
type: Concept
definition: Active Directoryドメイン環境でWindowsの設定を集中構成する仕組み。
alternative label: GPO
alternative label: Group Policy

Microsoft Intune
type: Concept
definition: クラウドからPC・モバイルデバイスを管理するMicrosoftのMDMサービス。
alternative label: Intune

起動時PIN(TPM+PIN)
type: Concept
definition: TPMに加えて起動時にPINの入力を必須にする、BitLockerの多要素構成。
alternative label: TPM+PIN
incompatible with: 無人運転の装置PC

スタートアップキー
type: Concept
definition: USBメモリに保存した鍵ファイルで起動時の認証を行うBitLockerの方式。TPMのないPCでも利用できる。
alternative label: Startup Key

保護の一時停止(サスペンド)
type: Concept
definition: 暗号化を保ったままBitLockerの保護を一時的に無効化する操作。既定では再起動で自動再開する。
alternative label: Suspend-BitLocker
should precede: ファームウェア更新

回復情報のバックアップ必須ポリシー
type: Concept
definition: 回復情報の保存に成功するまでBitLockerの有効化を許可しないポリシー。
alternative label: 回復情報がAD DSに保存されるまでBitLockerを有効にしない
prevents: 回復キー不在によるデータ喪失
configured by: グループポリシー
should precede: BitLocker

回復キー不在によるデータ喪失
type: Concept
definition: 回復手段の控えがないまま回復モードに入り、暗号化されたデータを取り出せなくなること。

manage-bde
type: Concept
definition: BitLockerの状態確認・プロテクター管理を行うコマンドラインツール。

Windows Pro/Enterprise系エディション
type: Concept
definition: Pro・Pro Education・Enterprise・Educationなど、管理機能を持つWindowsのエディション群。
alternative label: Pro
alternative label: Enterprise
alternative label: Education

Windows Homeエディション
type: Concept
definition: 個人向けのWindowsエディション。管理系機能の多くが対象外。
alternative label: Home
uses: デバイスの暗号化

クリアキー
type: Concept
definition: 保護なしの一時鍵。OOBE完了時点の暗号化はこの鍵で行われ、回復キーのバックアップ成功後に除去される。
alternative label: Clear Key

ローカルアカウント
type: Concept
definition: MicrosoftアカウントやEntra IDに紐づかない、PC内で完結するアカウント。

保護されない暗号化状態
type: Concept
definition: 暗号化はされているが保護が有効化(アーム)されておらず、盗難時の保護にならない状態。

ハードウェア交換
type: Concept
definition: マザーボード交換やドライブの別PCへの移設など、起動環境が変わるハードウェアの変更。
alternative label: マザーボード交換
alternative label: ドライブ移設

印刷・ファイルの控え
type: Concept
definition: 紙への印刷やUSBメモリ・ファイルとして手動保存した回復キーの控え。
alternative label: 回復キーの控え

使用済み領域のみ暗号化
type: Concept
definition: データのある領域だけを暗号化して初回の所要時間を短縮する範囲指定。新品ドライブ向け。
alternative label: Used Space Only

修理・保守作業
type: Concept
definition: PCを修理業者や保守要員に預けて作業してもらうこと。
alternative label: 修理

回復キーの漏えい
type: Concept
definition: 回復キーが第三者に知られ、ドライブの全データにアクセスされ得る状態。

回復パスワードの再発行(ローテーション)
type: Concept
definition: 新しい回復パスワードを発行してバックアップ成功を確認したうえで、使用・開示されたものを無効化する運用。
alternative label: 回復キーの使い捨て
mitigates: 回復キーの漏えい
recommended for: 回復キーの漏えい

PC廃棄
type: Concept
definition: PCやディスクを廃棄・売却・リサイクルに出すこと。
alternative label: 廃棄・リサイクル
requires: データ消去手順

データ消去手順
type: Concept
definition: 初期化(リセット)・専用消去ツール・物理破壊など、検証可能な形でデータを消す手順。
alternative label: 初期化・消去ツール・物理破壊
prevents: 紛失・盗難によるデータ流出

暗号化の性能影響
type: Concept
definition: ドライブ暗号化によるI/O性能への影響。現代のPCでは体感に響くことはまれ。

msinfo32(システム情報)
type: Concept
definition: デバイスの暗号化の前提条件を満たしているかを「デバイスの暗号化のサポート」行で確認できるツール。
alternative label: システム情報

パスワード方式
type: Concept
definition: 起動時にパスワードを入力するBitLockerの認証方式。ロックアウトの仕組みがなく総当たりに弱い。
alternative label: パスワードプロテクター
not recommended for: BitLocker

担当者個人アカウントでの回復キー保管
type: Concept
definition: 会社PCの回復キーが担当者個人のMicrosoftアカウントにだけ保存されている状態。

回復キーID
type: Concept
definition: 回復パスワードごとの識別子。回復画面に表示される先頭8桁を、保存済みキーと照合する手がかりにする。
alternative label: キー識別子

暗号化方式の選定
type: Concept
definition: XTS-AESの128/256ビットなど暗号化方式を決めること。後から変えるには復号と再暗号化が必要。
should precede: BitLocker

無人運転の装置PC
type: Concept
definition: 人手を介さず再起動・稼働し続ける必要がある装置制御・キオスク用途のPC。
alternative label: 装置PC
alternative label: キオスクPC

保護有効化済みイメージの複製
type: Concept
definition: BitLockerの保護を有効化した状態の親機イメージを複製すること。回復パスワードはデバイス固有のため複製してはならない。
not recommended for: クローン展開

クローン展開
type: Concept
definition: 親機のディスクイメージを複製して複数PCへ展開するキッティング方式。
alternative label: イメージ展開

DPAPI
type: Concept
definition: 実行中のマシン上でアプリの秘密情報を保護するWindowsのデータ保護API。
alternative label: データ保護API
recommended for: アプリの秘密情報

アプリの秘密情報
type: Concept
definition: 業務アプリが扱う接続文字列・APIキーなどの秘密情報。ログオン済みマシンではドライブ暗号化では守れない。
alternative label: 接続文字列
alternative label: APIキー

subject: BitLocker
predicate: uses
object: TPM
description: TPM搭載PCの既定構成では暗号化キーの保護にTPMを使い、起動環境の検証に通ったときだけキーを解放する(TPMのないPCではスタートアップキー方式を使う)
evidence: bitlocker
verified at: 2026-08-01
certainty: context-dependent

subject: BitLocker
predicate: uses
object: XTS-AES
description: 既定の暗号化方式はXTS-AES 128ビット
evidence: configure
verified at: 2026-08-01
certainty: established

subject: BitLocker
predicate: prevents
object: 紛失・盗難によるデータ流出
description: ディスクを抜いて別PCへつなぐ攻撃や不適切な廃棄でもデータを読めなくする
evidence: bitlocker
verified at: 2026-08-01
certainty: established

subject: デバイスの暗号化
predicate: automates
object: BitLocker
description: 要件を満たすPCでOOBE完了時に暗号化を自動で初期化する
evidence: oem-bitlocker
verified at: 2026-08-01
certainty: established

subject: デバイスの暗号化
predicate: requires
object: TPM
description: TPM(1.2または2.0)の搭載が条件
evidence: oem-bitlocker
verified at: 2026-08-01
certainty: established

subject: デバイスの暗号化
predicate: requires
object: UEFIセキュアブート
description: UEFIセキュアブートが有効であることが条件
evidence: oem-bitlocker
verified at: 2026-08-01
certainty: established

subject: 回復キー(回復パスワード)
predicate: storedIn
object: Microsoft Entra ID
description: Entra ID参加PCではEntra IDへ自動バックアップされる
evidence: recovery-overview
verified at: 2026-08-01
certainty: context-dependent

subject: 回復キー(回復パスワード)
predicate: storedIn
object: Active Directory(AD DS)
description: 回復ポリシー構成済みのドメイン参加PCではAD DSへバックアップされる
evidence: recovery-overview
verified at: 2026-08-01
certainty: context-dependent

subject: 回復キー(回復パスワード)
predicate: storedIn
object: Microsoftアカウント
description: 個人利用ではMicrosoftアカウントに保存され aka.ms/myrecoverykey で確認できる
verified at: 2026-08-01
certainty: context-dependent

subject: BitLocker回復モード
predicate: requires
object: 回復キー(回復パスワード)
description: 回復モードからの復帰には48桁の回復パスワード等の回復手段が必要
evidence: recovery-overview
verified at: 2026-08-01
certainty: established

subject: ファームウェア更新
predicate: mayCause
object: BitLocker回復モード
description: 起動環境の測定値が変わるため、計画作業前の一時停止(サスペンド)が定石
evidence: recovery-overview
verified at: 2026-08-01
certainty: context-dependent

subject: BitLocker
predicate: configuredBy
object: グループポリシー
description: 回復方法や暗号化方式などをGPOで構成できる
evidence: configure
verified at: 2026-08-01
certainty: established

subject: BitLocker
predicate: configuredBy
object: Microsoft Intune
description: BitLocker CSP経由でIntuneから構成できる
evidence: configure
verified at: 2026-08-01
certainty: established

subject: BitLocker
predicate: uses
object: 起動時PIN(TPM+PIN)
description: 据え置きの高セキュリティ端末向けに、起動時のPIN入力を必須にする多要素構成を選べる
evidence: bitlocker
verified at: 2026-08-01
certainty: context-dependent

subject: BitLocker
predicate: uses
object: スタートアップキー
description: TPMのないPCでもスタートアップキー方式でOSドライブを暗号化できる
evidence: bitlocker
verified at: 2026-08-01
certainty: context-dependent

subject: 保護の一時停止(サスペンド)
predicate: prevents
object: BitLocker回復モード
description: ファームウェア更新などの計画作業前に保護を一時停止すれば、回復キーを要求されずに作業できる
evidence: recovery-overview
verified at: 2026-08-01
certainty: context-dependent

subject: 回復情報のバックアップ必須ポリシー
predicate: prevents
object: 回復キー不在によるデータ喪失
description: バックアップ成功まで有効化させないことで、回復手段のない暗号化ボリュームの発生を防ぐ
evidence: configure
verified at: 2026-08-01
certainty: established

subject: 回復情報のバックアップ必須ポリシー
predicate: configuredBy
object: グループポリシー
description: 「回復情報が保存されるまでBitLockerを有効にしない」をGPOで構成する
evidence: configure
verified at: 2026-08-01
certainty: established

subject: BitLocker回復モード
predicate: mayCause
object: 回復キー不在によるデータ喪失
description: 回復キーがどこにも保存されていない状態で回復モードに入ると、初期化(全データ消失)しかなくなる
verified at: 2026-08-01
certainty: context-dependent

subject: BitLocker
predicate: verifiedBy
object: manage-bde
description: manage-bde -status / -protectors -get で暗号化状態と回復キーを確認できる
evidence: operations-guide
verified at: 2026-08-01
certainty: established

subject: BitLocker
predicate: requires
object: Windows Pro/Enterprise系エディション
description: 手動での有効化や管理機能を含むフル機能のBitLockerはPro/Enterprise系エディションが対象
evidence: bitlocker
verified at: 2026-08-01
certainty: established

subject: Windows Homeエディション
predicate: uses
object: デバイスの暗号化
description: HomeエディションでもBitLockerと同じ技術を使う「デバイスの暗号化」は利用できる
evidence: bitlocker
verified at: 2026-08-01
certainty: established

subject: デバイスの暗号化
predicate: uses
object: クリアキー
description: OOBE完了時点の暗号化は保護なしのクリアキーで行われ、条件を満たすサインインで保護が有効化される
evidence: bitlocker
verified at: 2026-08-01
certainty: established

subject: ローカルアカウント
predicate: mayCause
object: 保護されない暗号化状態
description: ローカルアカウントのみで使い続けると回復キーのバックアップ先がなく、保護が有効化されないままになる
evidence: bitlocker
verified at: 2026-08-01
certainty: context-dependent

subject: 保護されない暗号化状態
predicate: mayCause
object: 紛失・盗難によるデータ流出
description: 暗号化されていても保護が有効でなければ、盗難時にデータを守る効果はない
evidence: bitlocker
verified at: 2026-08-01
certainty: context-dependent

subject: UEFIセキュアブート
predicate: mayCause
object: BitLocker回復モード
description: セキュアブート設定の変更は起動環境の測定値を変え、回復モードの引き金になる
evidence: recovery-overview
verified at: 2026-08-01
certainty: context-dependent

subject: TPM
predicate: mayCause
object: BitLocker回復モード
description: TPMのクリアや自己テスト失敗など、TPM側の状態変化も回復モードの引き金になる
evidence: recovery-overview
verified at: 2026-08-01
certainty: context-dependent

subject: ハードウェア交換
predicate: mayCause
object: BitLocker回復モード
description: マザーボード交換やドライブの別PCへの移設は起動環境が変わるため回復モードに入る
evidence: recovery-overview
verified at: 2026-08-01
certainty: context-dependent

subject: 回復キー(回復パスワード)
predicate: storedIn
object: 印刷・ファイルの控え
description: 自動バックアップ先がない環境では、印刷やファイル保存による手動の控えが最後の受け皿になる
verified at: 2026-08-01
certainty: context-dependent

subject: BitLocker
predicate: uses
object: 使用済み領域のみ暗号化
description: 新品ドライブでは使用済み領域のみ暗号化を選ぶと初回の所要時間を大きく短縮できる
evidence: operations-guide
verified at: 2026-08-01
certainty: context-dependent

subject: 修理・保守作業
predicate: mayCause
object: 回復キーの漏えい
description: 修理・保守で回復キーを第三者に伝えると、そのキーは漏えいしたものとして扱う必要がある
evidence: operations-guide
verified at: 2026-08-01
certainty: context-dependent

subject: 回復パスワードの再発行(ローテーション)
predicate: mitigates
object: 回復キーの漏えい
description: 新しい回復パスワードを追加してバックアップ成功を確認してから開示済みのものを削除すれば、漏えいの影響を断ち切れる
evidence: operations-guide
verified at: 2026-08-01
certainty: established

subject: PC廃棄
predicate: requires
object: データ消去手順
description: 暗号化していても廃棄・売却時は、NIST SP 800-88が定義するような検証可能な消去手順(初期化・消去ツール・物理破壊)が別途必要
evidence: final
verified at: 2026-08-01
certainty: established

subject: データ消去手順
predicate: prevents
object: 紛失・盗難によるデータ流出
description: 検証可能な形でデータを消してから手放すことで、廃棄・売却経由の流出を防ぐ
evidence: final
verified at: 2026-08-01
certainty: established

subject: BitLocker
predicate: mayCause
object: 暗号化の性能影響
description: 暗号化によるI/O性能への影響はあるが、現代のPCでは体感に響くことはまれ
evidence: configure
verified at: 2026-08-01
certainty: context-dependent

subject: 保護の一時停止(サスペンド)
predicate: shouldPrecede
object: ファームウェア更新
description: ファームウェア更新・セキュアブート設定変更などの計画作業は、保護の一時停止を済ませてから行うのが定石
evidence: recovery-overview
verified at: 2026-08-01
certainty: established

subject: 回復情報のバックアップ必須ポリシー
predicate: shouldPrecede
object: BitLocker
description: 「回復情報が保存されるまでBitLockerを有効にしない」構成を先に入れ、バックアップ成功を有効化に先行させる
evidence: configure
verified at: 2026-08-01
certainty: established

subject: 回復パスワードの再発行(ローテーション)
predicate: recommendedFor
object: 回復キーの漏えい
description: 回復キーを第三者に渡した・回復に使った後は、新パスワード追加→バックアップ成功確認→旧パスワード削除の手順での再発行が推奨
evidence: operations-guide
verified at: 2026-08-01
certainty: established

subject: 回復パスワードの再発行(ローテーション)
predicate: requires
object: 回復情報のバックアップ必須ポリシー
description: Entra ID参加デバイスの自動ローテーションは、回復情報のバックアップを必須にするポリシーが構成されているときにだけ機能する
evidence: configure
verified at: 2026-08-01
certainty: context-dependent

subject: デバイスの暗号化
predicate: verifiedBy
object: msinfo32(システム情報)
description: 「デバイスの暗号化のサポート」の行で自機が前提条件を満たすかを確認できる
evidence: bitlocker
verified at: 2026-08-01
certainty: established

subject: パスワード方式
predicate: notRecommendedFor
object: BitLocker
description: ロックアウトの仕組みがなく総当たりに弱いため既定で無効化されている。TPMまたはスタートアップキー方式を使う
evidence: bitlocker
verified at: 2026-08-01
certainty: established

subject: 担当者個人アカウントでの回復キー保管
predicate: mayCause
object: 回復キー不在によるデータ喪失
description: 会社PCの回復キーが担当者個人のアカウントにしかない状態は、退職・異動で取り出せなくなる
evidence: recovery-overview
verified at: 2026-08-01
certainty: context-dependent

subject: 回復キー(回復パスワード)
predicate: verifiedBy
object: 回復キーID
description: 回復画面に表示されるIDの先頭8桁を保存済みキーのIDと突き合わせ、正しいキーを特定する
verified at: 2026-08-01
certainty: established

subject: 回復キー(回復パスワード)
predicate: verifiedBy
object: manage-bde
description: manage-bde -protectors -get で48桁の回復パスワードとそのIDを確認できる。後からのバックアップ(BackupToAAD等)もIDを使う
evidence: operations-guide
verified at: 2026-08-01
certainty: established

subject: 暗号化方式の選定
predicate: shouldPrecede
object: BitLocker
description: 暗号化方式を後から変えるには復号→再暗号化が必要なため、有効化の前に決め切る
evidence: configure
verified at: 2026-08-01
certainty: established

subject: 起動時PIN(TPM+PIN)
predicate: incompatibleWith
object: 無人運転の装置PC
description: 起動のたびに人手のPIN入力が要るため、無人再起動が前提の装置PC・キオスクPCには向かない
evidence: bitlocker
verified at: 2026-08-01
certainty: established

subject: 保護有効化済みイメージの複製
predicate: notRecommendedFor
object: クローン展開
description: 回復パスワードは作成したデバイスに固有のため、保護有効化済みイメージは複製せず、展開後にPCごとに有効化する
evidence: recovery-overview
verified at: 2026-08-01
certainty: established

subject: DPAPI
predicate: recommendedFor
object: アプリの秘密情報
description: ログオン済みのマシンではドライブは復号されて見えるため、接続文字列やAPIキーはBitLockerではなくDPAPI等で守る
evidence: cng-dpapi
verified at: 2026-08-01
certainty: established