法人PCの導入前に知っておきたい TPM 2.0 と BitLocker の基本
公開日
この記事を共有
Windows 11 の PC を導入すると、多くの場合 TPM 2.0 と BitLocker（デバイスの暗号化）が裏側で動いています。普段は意識することのない仕組みですが、法人で複数台を運用する場合は、導入時に管理ルールを決めておかないと、修理や設定変更のあとに「回復キーが分からず起動できない」という事態につながります。
この記事では、情報システム担当者や総務のご担当者が押さえておきたい基本と、導入時に決めておきたいルールを整理します。
TPM 2.0 とは
TPM（Trusted Platform Module）は、暗号化に使う鍵などの大切な情報を、OS から切り離して安全に保管するためのセキュリティ機能です。現在の主流は TPM 2.0 で、Windows 11 のシステム要件にも含まれています。
TPM には、マザーボード上の専用チップとして搭載される方式と、CPU の機能として提供されるファームウェア方式があります。AMD の CPU では「fTPM」、Intel の CPU では「PTT」と呼ばれ、どちらも Windows 11 の要件を満たす TPM 2.0 として扱われます。BIOS の画面ではこれらの名前で表示されることがあるため、覚えておくと設定確認がスムーズです。
TPM の状態は、Windows の「Windows セキュリティ」→「デバイス セキュリティ」の「セキュリティ プロセッサ」、または「ファイル名を指定して実行」で tpm.msc を開くと確認できます。
BitLocker とデバイスの暗号化
BitLocker は、ドライブの中身を暗号化する Windows の機能です。PC の紛失や盗難が起きても、第三者がストレージを取り出してデータを読み取ることを防ぎます。
注意したいのは、意識して設定しなくても有効になっている場合があることです。TPM 2.0 などの条件を満たす Windows 11 の PC を Microsoft アカウントでセットアップすると、デバイスの暗号化が自動的に有効になり、48 桁の回復キーがそのアカウントに保存されます。
回復キーを求められる主なきっかけ
BitLocker は、起動時の状態が「いつもと違う」と判断すると、回復キーの入力を求めます。代表的なきっかけは次のとおりです。
- BIOS で TPM を無効化・クリアした、Secure Boot などの設定を変更した
- BIOS（UEFI）を更新した
- ストレージの交換や、修理による部品交換をした
- 一部の Windows Update のあと
正しい回復キーを入力すればデータはそのまま使えますが、回復キーがどこにも見つからない場合、暗号化されたデータを取り出す方法はなく、初期化するしかありません。
法人で起こりやすいトラブル
個人利用と違い、法人では「PC をセットアップした人」と「実際に使う人」「管理する人」が異なることがよくあります。たとえば次のようなケースです。
- 導入担当者が個人の Microsoft アカウントでセットアップし、回復キーがその個人のアカウントに保存されていた
- 担当者の異動・退職で、回復キーの保存先が分からなくなった
- 修理から戻った PC で回復キーを求められたが、利用者も管理者もキーを把握していなかった
いずれも、導入時にルールを決めておけば防げるトラブルです。
導入時に決めておきたい 5 つのルール
- セットアップに使うアカウントを決める：個人のアカウントではなく、会社が管理するアカウントでセットアップします。組織で Active Directory や Microsoft Entra ID（旧 Azure AD）を使っている場合は、回復キーをそこで一元管理できます。
- 回復キーの保管場所を台帳に記録する：PC の管理番号・シリアル番号と、回復キーの保存先（どのアカウント・どの管理システムか）を対応づけて記録しておきます。
- BIOS 更新や設定変更の前に回復キーを手元に用意する：作業前にキーを確認しておくほか、必要に応じて BitLocker の保護を一時的に中断してから作業します。
- 修理に出す前にデータを退避する：修理内容によってはストレージの交換や初期化が必要になることがあります。業務データはファイルサーバーやクラウドにも保存しておきます。
- TPM のクリアは担当者の判断で行わない：BIOS 上で TPM をクリアすると、次回起動時に回復キーが必要になります。操作は管理部門の手順に沿って行います。
回復キーを求められたときの確認先
- Microsoft アカウントでセットアップした PC：別の PC やスマートフォンから Microsoft の回復キー確認ページにサインインし、該当する端末のキーを確認します。
- 組織で管理している PC：社内の IT 管理者・ヘルプデスクに問い合わせます。回復キーは組織の管理システムに保存されています。
まとめ
TPM 2.0 と BitLocker は、PC の紛失・盗難から業務データを守る大切な仕組みです。一方で、回復キーの管理を決めずに導入すると、思わぬタイミングで業務が止まる原因にもなります。導入時に「どのアカウントでセットアップするか」「回復キーをどこに記録するか」を決めておくことが、いちばん確実な対策です。
GEEKOM 法人ストアでは、各製品の仕様書（PDF）を資料ダウンロードページで公開しています。指定 OS のプリインストールや BIOS 設定などのキッティング（有償）についても、内容と台数に応じてご相談を承ります。
