【ITニュース解説】How to Check BitLocker Status on Windows 11 and 10 (3 Ways)

BitLockerは、Windowsに標準で搭載されているドライブ暗号化機能だ。この機能は、パソコンに保存されたデータを不正なアクセスから保護するために非常に重要な役割を果たす。例えば、ノートパソコンを紛失したり盗難に遭ったりした場合でも、BitLockerで暗号化されていれば、第三者がドライブを取り出して中のデータにアクセスしようとしても、簡単に読み取ることができないため、データ漏洩のリスクを大幅に低減できる。システムエンジニアを目指す上で、このような基礎的なセキュリティ機能の理解と適切な管理方法は必須の知識だ。

BitLockerの状態を正しく把握することは極めて重要だ。なぜなら、見た目にはドライブが「完全に暗号化されている」と表示されていても、実際には「保護されていない」状態にあるケースが存在するからだ。これは、BitLockerの保護機能が一時的に停止していたり、暗号化プロセスが完全に完了していなかったりする場合に発生する。このような「見かけ上の暗号化」に頼り切ってしまうと、いざという時にデータが全く保護されておらず、危険にさらされる可能性がある。そのため、定期的にBitLockerの状態を確認し、適切に保護されているか確かめる習慣を持つことが推奨される。

BitLockerの状態を確認する方法は、使用しているWindowsのエディションによっていくつかの選択肢がある。 Windows 11または10のHomeエディションの場合、Proエディション以上のBitLocker管理インターフェースは利用できないが、「デバイスの暗号化」という機能が搭載されていることが多い。これはBitLockerの技術を基盤とした機能で、対応するハードウェアでは自動的に有効になる場合がある。この機能の状態を確認するには、「設定」アプリを開き、「プライバシーとセキュリティ」（Windows 10では「更新とセキュリティ」）の項目に進んで「デバイスの暗号化」を探す。ここでトグルスイッチが「オン」であれば、システムドライブや内蔵ドライブが暗号化されている状態だ。「Microsoftアカウントでサインインしてください」といった警告が表示されている場合は、暗号化は始まっているものの、まだ完全に保護が確立されていない状態を意味する。もし「デバイスの暗号化」のオプション自体が表示されない場合は、ハードウェアがこの機能をサポートしていないか、あるいは標準アカウントでサインインしている可能性がある。より詳細な理由を知りたい場合は、「システム情報」アプリを管理者として実行し、「デバイスの暗号化のサポート」の項目で現在のサポート状況を確認できる。

一方、Windows 11または10のPro、Enterprise、Educationエディションを使用している場合は、より多様な方法でBitLockerの状態を確認できる。 最も手軽な方法の一つは、ファイルエクスプローラーを利用することだ。「PC」を開き、ドライブのアイコンに錠前マークが付いているかを確認する方法だ。これはBitLockerが有効であることを示唆するが、黄色い警告マーク付きの錠前は、保護が一時的に停止しているか、アクティベーションを待っている状態を表すことが多い。錠前マークがなければ、そのドライブは暗号化されていない。ただし、ファイルエクスプローラーの表示はあくまで簡易的なヒントであり、正確な状態を知るには別の方法で確認する必要がある。

より詳細で確実な情報を得るには、コントロールパネルを利用する方法が一般的だ。「Windowsキー」を押し、「BitLockerの管理」と検索して開くか、または「コントロールパネル」から「システムとセキュリティ」に進み、「BitLockerドライブ暗号化」を選択する。ここには、システムドライブ、固定データドライブ、リムーバブルデータドライブといった、各ドライブの現在のBitLockerの状態が一覧で表示される。ドライブ名の横に表示されるステータスを見ることで、暗号化の状況を一目で把握できる。「BitLockerオン」はドライブが暗号化され、保護されている状態を意味し、「BitLockerオフ」は暗号化されていない状態を示す。「BitLocker一時停止中」は暗号化はされているが、保護が一時的に解除されている状態だ。「アクティベーション待ち」は、暗号化は完了しているものの、まだ完全な保護が確立されていない状態を指す。そして「暗号化中または復号中」は、BitLockerが現在ドライブの処理を進めている途中であることを示す。これらのステータスに応じて、回復キーのバックアップ、保護の再開、BitLockerの有効化などの適切な対処を講じる必要がある。

さらに詳細な情報を取得したい場合や、スクリプトによる自動確認を検討する場合には、コマンドプロンプトやPowerShellといったコマンドラインツールが非常に強力だ。これらのツールは管理者権限で実行する必要がある。 コマンドプロンプトで確認するには、スタートボタンを右クリックして「ターミナル（管理者）」または「コマンドプロンプト（管理者）」を選択し、「manage-bde -status」と入力してEnterキーを押す。これにより、システム上のすべてのドライブに関するBitLockerの詳細な状態が表示される。「manage-bde -status C:」のように特定のドライブレターを指定すれば、そのドライブの情報のみを表示させることも可能だ。出力される情報の中で、特に確認すべきは「Protection Status」の項目で、これが「Protection On」であればドライブは正しく保護されている状態にある。「Protection Off」の場合は、たとえ「Percentage Encrypted」が100%であっても、保護が一時停止しているか、アクティベーションが完了していないため、データは保護されていない状態にあることを意味する。「Conversion Status」は暗号化の進行状況を示し、「Used Space Only Encrypted」は新品のPCなどで見られる、使用されている領域のみを暗号化する方式だ。「Key Protectors」は、TPM（Trusted Platform Module）や数値パスワード（回復キー）など、ドライブのロック解除に用いられる方法が何であるかを示す。例えば、「Key Protectors」にTPMのみが表示され、数値パスワードがない場合は、回復キーが設定されていない状態であり、マザーボードの交換やファームウェアの変更といった予期せぬトラブルが発生した際に、ドライブにアクセスできなくなるリスクがあるため、回復キーの設定が急務となる。

PowerShellを使用する場合も、管理者権限で「ターミナル（管理者）」を開き、「Get-BitLockerVolume」と入力してEnterキーを押す。これにより、各ボリュームに関するBitLockerの状態がオブジェクト形式で出力され、情報のフィルタリングやソート、エクスポートなどが容易に行える。「Get-BitLockerVolume -MountPoint C: | Format-List」のように特定のドライブを指定して実行することで、より詳細な情報をリスト形式で取得することも可能だ。PowerShellの出力では、「VolumeStatus」が暗号化の状況を、「ProtectionStatus」が実際に保護されているかどうかを示すプロパティだ。これらの情報は、manage-bdeコマンドの出力と基本的に同じ内容を意味している。

特に注意すべきは、BitLockerが「一時停止」または「アクティベーション待ち」の状態にある場合だ。これらの状態では、ドライブは物理的に暗号化されていても、暗号化を解除するためのキーがディスク上に無防備な状態で置かれているなど、実質的に保護されていない状態に陥っている。BitLockerは、BIOSやファームウェアのアップデートなど、PCの再起動を伴う特定の操作中に、意図的に保護を一時停止することがあるが、通常はこれらの操作が完了すると自動的に保護が再開される。もし保護が自動で再開されない場合は、手動で保護を再開する必要がある。アクティベーション待ちの状態であれば、Microsoftアカウントでのサインインや、コントロールパネルからの設定を通じて、適切なプロテクターを追加し、ドライブを完全に保護された状態にする作業が必要となる。

BitLockerの回復キーは、何らかの理由でドライブがロックされてしまった際に、データにアクセスするために不可欠な48桁の数字だ。この回復キーを紛失してしまうと、ドライブ内のデータに二度とアクセスできなくなる可能性があり、最悪の場合、大切なデータは永遠に失われてしまう。そのため、BitLockerを有効にしたら、回復キーが確実に保存されていることを確認し、必要に応じてバックアップを取ることが非常に重要だ。一般的には、Microsoftアカウントに自動的に保存されるため、別のデバイスから「aka.ms/myrecoverykey」にアクセスし、サインインすることで回復キーを確認できる。職場のPCの場合は、組織のアカウントやITチームが管理していることが多い。回復キーはパソコン本体とは別の、安全な場所に保管しておくことが極めて重要だ。

USBメモリや外付けHDDなどのリムーバブルドライブを暗号化する「BitLocker To Go」も、BitLockerと同様に、コントロールパネルやmanage-bde -statusコマンドで状態を確認できる。ロックされているリムーバブルドライブは、「Lock Status: Locked」と「Protection Status: Unknown」と表示されることが多い。ファイルエクスプローラーでドライブをアンロックしてからコマンドを再度実行することで、そのドライブの完全な詳細情報を確認できるようになる。Windows HomeエディションではリムーバブルドライブのBitLocker暗号化はできないが、Pro以上のエディションで暗号化されたドライブは、HomeエディションのPCでもロックを解除して使用することが可能だ。

BitLockerの状態確認や管理の際に遭遇しがちな問題として、コマンドプロンプトで「アクセスが拒否されました」と表示されるケースがあるが、これは管理者権限で実行していないことが主な原因だ。また、Homeエディションで「BitLockerの管理」が見つからない、暗号化処理が途中で停止する、BIOSアップデート後に保護がオフになっている、起動時に毎回回復キーを求められるといった状況もよくある。これらの問題に対しては、管理者権限での再実行、設定アプリでの確認、PCを電源に接続しスリープを停止、手動での保護再開、回復キー入力後のBitLockerの一時停止と再開といった対処法がそれぞれ用意されている。

システムエンジニアとして、自身のパソコンのセキュリティを確実に保つためにも、月に一度はBitLockerの状態を確認する習慣を身につけることをお勧めする。「manage-bde -status C:」コマンドで「Protection On」であることを確認し、回復キーがaka.ms/myrecoverykeyに適切に登録されているかをチェックする。加えて、Windowsセキュリティでウイルス対策とファイアウォールが有効になっているか、そしてWindowsアップデートが最新の状態に適用されているかも併せて確認すると良いだろう。これらの簡単な定期チェックは、将来的なトラブルを未然に防ぎ、大切なデータを保護するために非常に有効だ。BitLockerの状態を確認するだけの操作は、PCの設定自体を変更するものではなく、単に情報を読み取るだけなので、安心して定期的なチェックを行うことができる。