当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
目的
- フルディスク暗号化が必要な理由を理解する
- 有効化すべき端末を判断できる
- 導入前後に確認すべき項目を理解する
フルディスク暗号化とは
フルディスク暗号化とは、ストレージ全体を暗号化し、端末の盗難や紛失時に保存データを第三者へ読み取られにくくする仕組みである。
近年のスマートフォンでは、利用者が意識しなくても暗号化が有効になっている機種が多い。また、ロック画面からカメラや通知など一部の機能だけ利用できるようにするため、ストレージ全体ではなくファイル単位で暗号化を管理する方式も普及している。
WindowsやmacOSでは現在もフルディスク暗号化が主流である。機種やOSのエディションによっては初期状態で有効な場合もあるが、自分で有効化や確認が必要な環境も少なくない。
Windowsの場合はBitLocker、macOSはFileVaultによってストレージ全体を暗号化する。なお、Windowsへのログイン認証とストレージ暗号化の解除は役割が異なり、通常はBitLockerによってストレージへのアクセスが可能になった後、Windowsのログイン認証が行われるため、PC起動時に認証している＝Bitlocker導入済みとは限らない。通常はTPMなどによって暗号鍵が自動的に解放されるため、利用者がBitLockerを意識する場面は少ない。
参考：BitLockerとは
なぜ有効化するのか
フルディスク暗号化は、データそのものではなく物理的な情報漏洩を防ぐための対策である。
例えば
- ノートPCの盗難
- 外出先での置き忘れ
- SSDだけ抜き取られる
- PC売却・廃棄時のデータ復元
などで効果を発揮する。
有効化した方がよい端末
優先度が高い
中身の重要度が高い業務PC・盗難や紛失しやすいモバイルデバイスは最優先で有効化する。
- ノートPC
- 社外へ持ち出す業務用PC
- 顧客情報・個人情報を扱うPC
導入を検討
紛失のおそれはほとんどないが盗難対策としてできれば有効化しておきたい。
- 家庭用デスクトップ
- SOHOの据え置きPC
優先度が低い
万一の事態でも流出して困るデータが無いのであれば優先度は低い。
- 検証用PC
- 一時利用端末
- 保存データがほとんど存在しない端末
有効化前に確認すること
導入前には次の点を確認しておく。
- バックアップが取得できているか（暗号化の途中で停電やシャットダウンが起こると回復キーでの復旧が必要になったり、最悪の場合はシステムが破損し全データにアクセスができなくなる恐れがある）
- 回復キーの保管場所を決める（暗号化したPC内以外の場所に保存しているか）
- 利用OS・エディションが対応している
- 暗号化中の電源供給（電力会社による停電の予定がないか、電源ケーブルは接続しているか、できれば瞬電対策にUPS推奨）
有効化後に確認すること
暗号化を有効にしたら運用できる状態まで確認する。
例えば
- 暗号化が有効になっている
- 回復キーを安全に保管した
- 回復キーの保管場所を管理台帳へ記録した
- 管理者が保管場所を把握している
管理台帳には
- 端末名
- 利用者
- 暗号化の有効・無効
- 回復キーの保管場所
程度を記録しておくだけでも、復旧時のトラブルを大きく減らせる。
バックアップ復旧時の暗号化の動作
通常のファイルバックアップやシステムイメージの復元では、BitLockerなどの回復キーを要求されない場合もあるが、故障時にシステムイメージ（丸ごとのデータ）を別のPCや新しいストレージに復元する際、BitLockerの「回復キー」を要求されることもある。
BitLockerの回復キーが要求されやすいシーン例
- TPM故障
- マザーボード交換
- SSDを別PCへ接続する
- BIOSやSecure Bootの大きな変更
フルディスク暗号化だけでは防げないこと
フルディスク暗号化は、PCの電源が切れている状態での情報漏洩対策である。正規利用者がログインした後はデータが利用できる状態になるため、バックアップやマルウェア対策は別途必要となる。
また、正規利用者による情報持ち出しも防ぐことができないので、別の対策が必要である。
小規模環境ではどう考えるか
スマートフォンは初期状態で暗号化されている機種が多いため、まずはWindows PCやmacOSのノートPCの確認から始めるとよい。
一方、据え置きPCでも個人情報や業務データを扱う場合は有効化を検討したい。
また、回復キーは「保存する」だけではなく、「誰がどこに保管しているか」を把握できる状態にしておくことが重要である。
まとめ
- フルディスク暗号化は盗難・紛失時の情報漏洩対策である
- スマートフォンではファイル単位暗号化へ移行している機種も多い
- Windows・macOSでは現在もフルディスク暗号化が主流である
- 有効化前はバックアップと回復キー管理を確認する
- 回復キーの保管場所を記録して運用する
- 暗号化だけでは十分ではなく、他のセキュリティ対策と組み合わせて利用する