保存データと通信データの暗号化：BitLocker・Intune・Microsoft 365の実践チェックリスト

要点： Microsoft 365を使う中小企業にとっての「十分」は4つです。すべてのWindowsノートPCをBitLockerで暗号化し、回復キーをMicrosoft Entra IDに保管すること。Microsoft 365標準の暗号化を有効のまま、その範囲を理解しておくこと。取引先宛ての機密メールをTLSまたはメッセージ暗号化で守ること。バックアップを暗号化し、復元できる人がいること。これ以上は、特定のリスクに応じて追加します。

「うちのデータは暗号化されていますか」と聞かれた経営者や情シスに向けて、チェックしていけるリストと管理者の手順をまとめました。読み終えると、Microsoftがすでに暗号化してくれているもの、自分で有効にすべきもの、それぞれの確認方法がわかります。

手順と事実は2026年10月28日にMicrosoft Learnで確認しました。

保存時と通信時を1分で整理

1. 保存データ（data at rest）は、置かれているデータです。ノートPC上のファイル、メールボックス内のメール、SharePointやOneDriveの文書、バックアップのコピー。
2. 通信データ（data in transit）は、動いているデータです。配信中のメール、同期中のファイル、Teams会議、実行中のバックアップ。
3. 暗号化が防ぐものは具体的です。 保存時の暗号化は、ノートPCの紛失、ディスクの盗難、廃棄された端末からの流出を防ぎます。通信時の暗号化は、通信内容の盗み見を防ぎます。Microsoft Learnも、暗号化だけでは内容の傍受自体は防げないと述べており、MFA、アクセス制御、バックアップを含む全体の情報保護計画の一部として考えます。

レベル1：どの会社にも必要な基本

端末（保存時）

1. すべてのWindowsノートPC・デスクトップでBitLockerを有効にする。 BitLockerはボリューム全体を暗号化し、紛失・盗難・不適切な廃棄から端末内のデータを守ります。TPMと組み合わせると最も強力です。Windows Pro、Enterprise、Educationのエディションで利用できます。
2. 回復キーはMicrosoft Entra IDに保管する。 Microsoft Entra参加の端末では、デバイスの暗号化によって回復キーが自動的にEntra IDへバックアップされます。
3. ローカルアカウントだけのノートPCを残さない。 Microsoft Learnによると、ローカルアカウントだけを使う端末は、データが暗号化されていても保護されていない状態のままです。
4. スマートフォン・タブレット： 端末管理ポリシーでPINやパスコードを必須にします。

Microsoft 365（保存時）

1. サービス側の暗号化は有効のままにする。 Microsoft Learnによると、Microsoft 365のデータは保存時も通信時も、TLS/SSL、IPsec、AESなどで暗号化されています。データセンター内のファイルとメールは、BitLockerと分散キーマネージャー（DKM）で保護されます。
2. これはMicrosoftのディスクを守るもので、盗まれたパスワードは防げない。 MFAを追加してください。Microsoft 365でのMFA有効化をご覧ください。

通信時

1. Microsoft 365組織間のメールはTLSで送られます。Microsoft Learnによると、Exchange OnlineサーバーどうしはTLS 1.2で暗号化されます。
2. それ以外の相手へのメールは、既定で機会的TLS（opportunistic TLS）です。Exchange Onlineは最も安全なTLSバージョンから試し、相手のシステムがTLSに対応していなければ、暗号化せずに送信します。
3. 古いTLSは廃止済み。 Office 365ではTLS 1.0と1.1が廃止されており、Microsoftも暗号化なしのメール送信は推奨していません。
4. TeamsのメッセージはTLSとMTLS、メディアの通信はSRTPを使います。

バックアップ

1. バックアップデータは保存時も通信時も暗号化し、 キーやパスフレーズはバックアップ対象の機器とは別の場所に保管します。たとえばAzure Backupは、既定でプラットフォーム管理キーを使った256ビットAESで保存データを暗号化し、HTTPSで転送します。お使いのバックアップ製品のドキュメントでも同じ2点を確認してください。
2. 四半期ごとに復元テストをする。 クラウドバックアップ管理サービスと、バックアップ運用サービスとバックアップソフトの比較をご覧ください。

レベル2：データの機密性が高いとき

1. 特定の取引先にはTLSを必須にする。 ほとんどの企業では機会的TLSで十分です。銀行や医療などの相手先には、コネクターでTLSを必須にできるとMicrosoftは説明しています。方向ごとにコネクターが1つずつ必要です。Exchange admin centerで Mail flow > Connectors > Add a connector を開きます。自社から送るメールには、Connection from を Office 365、Connection to を Partner Organization にし、Security restrictions 画面で Always use Transport Layer Security (TLS) to secure the connection (recommended) にチェックを入れます。受信するメール用には、From: Partner organization、To: Office 365 でもう1つ作成します。取引先には、商用の認証局が発行した有効な証明書が必要です。
2. 機密性の高い内容はメッセージ自体を暗号化する。 TLSが暗号化するのは通信であり、メッセージではありません。TLSに対応しない組織へ転送したメールは、暗号化されたままとは限りません。Outlook.com、Gmail、Yahooなどに対応するMicrosoft Purview Message Encryption、またはS/MIMEを使います。管理者はメールフロールールで自動的に暗号化できます。利用者と管理者の手順はOutlookで暗号化メールを送る方法にあります。
3. 高リスクなノートPCには起動前PINを追加する。 BitLockerは起動時のPINやスタートアップキーを要求できますが、起動PINを使わないサイレント暗号化とは併用できません。
4. 使用後は回復キーをローテーションする。 IntuneにはWindows 10 1909以降とWindows 11向けに、BitLockerキーのローテーションのリモート操作があります。

レベル3：特定の要件がある場合だけ

Microsoft Learnは、Customer KeyとDouble Key Encryptionを、Azure上に構築された、自社で管理・制御する暗号化ソリューションとして挙げています。Personal Data Encryptionは、Windows 11 22H2以降でWindows Hello for Businessと組み合わせ、ファイル単位の暗号化を追加します。取引先、規制当局、リスク評価から求められた場合にだけ導入し、先にMicrosoftのページでライセンスを確認してください。

IntuneでBitLockerを強制する

端末がMicrosoft Entra参加またはハイブリッド参加で、TPM 1.2以降、Secure Bootが有効なUEFI、正常なWindows Recovery Environmentがあることを確認します。

1. Microsoft Intune admin centerにサインインします。
2. Endpoint security > Disk encryption > Create Policy を開きます。
3. Platformに Windows、Profileに BitLocker を選びます。
4. Configuration settingsで、OSドライブ、固定ドライブ、リムーバブルドライブの暗号化方式、回復オプション、TPM起動認証を設定します。
5. サイレント暗号化では、Require Device Encryption を Enabled、Allow Warning For Other Disk Encryption を Disabled にします。利用者が標準ユーザーなら、Allow Standard User Encryption も Enabled にします。Operating System Drives で Require additional authentication at startup を Enabled にしたうえで、Configure TPM startup PIN を Do not allow startup PIN with TPM、Configure TPM startup key を Do not allow startup key with TPM、Configure TPM startup key and PIN を Do not allow startup key and PIN with TPM、Configure TPM startup を Allow TPM または Require TPM にします。
6. まずパイロットグループに割り当て、次にすべてのWindows端末へ広げます。

サイレント展開の前に、他社製のディスク暗号化ソフトが入っていないか洗い出します。警告を無効にするとBitLockerがそのまま暗号化を進めるため、2つの製品が同じディスクを暗号化するとデータ損失や起動不能の原因になります。セキュリティベースラインも確認してください。Microsoft Defenderのセキュリティベースラインは、TPM起動PINを有効にしてサイレント暗号化を妨げることがあります。

よくある失敗

1. 回復キーを保管せずにBitLockerを有効にする。 キーがないと、ハードウェア変更後に締め出される恐れがあります。
2. 他社製の暗号化の上にサイレント暗号化を重ねる。 先に棚卸しをします。
3. TLSをエンドツーエンドの暗号化だと思う。 TLSが守るのは通信だけです。
4. ノートPCを廃棄する前にIntuneの端末レコードを削除する。 Microsoft Entra参加でBitLocker保護された端末のIntuneオブジェクトを削除すると、OSボリュームのキー保護機能が削除され、BitLockerが一時停止状態になります。
5. 回復キーの閲覧権限を広く与える。 キーの読み取りにはCloud Device AdministratorやHelpdesk Administratorなどのロールが必要で、読み取りはすべて監査されます。対象は少数に絞ります。
6. バックアップは暗号化したがキーをなくす。 バックアップのパスフレーズとキーは保管庫に入れ、2人が取り出せるようにします。

動作確認の方法

1. Intune admin centerで Devices > Monitor > Encryption report を開き、すべてのWindows端末が暗号化済みと表示されることを確認します。
2. 1台を開きます：Devices > All devices > 端末を選択 > Monitor > Recovery keys で、BitLockerのキーIDがあることを確認します。
3. ノートPCで管理者権限のもと、下のコマンドを実行し、Conversion Statusの行を読みます。
4. 外部アドレスへテストメールを送り、メッセージ暗号化ルールが適用されることを確認し、受信者として開いてみます。
5. バックアップから1ファイルを復元し、かかった時間を記録します。

manage-bde -status c:

FAQ

データ暗号化とは何ですか？

読めるデータを、鍵がなければ読めない暗号文に変換することです。鍵を持つ人やシステムだけが復号できます。

暗号化の種類にはどんなものがありますか？

共通鍵暗号は、同じ鍵で暗号化と復号を行い、保存データや大量の通信に使われます。公開鍵暗号は鍵のペアを使い、鍵交換や本人証明に使われます。TLSのように、実際のシステムは両方を組み合わせます。

保存時の暗号化と通信時の暗号化の違いは？

保存時は、置かれているデータ（例：BitLockerによるノートPCのディスク）を守ります。通信時は、動いているデータ（例：メール接続のTLS）を守ります。

データ暗号化の例にはどんなものがありますか？

ノートPCのディスクのBitLocker（保存時）、メールサーバー間の接続のTLS（通信時）、1通のメールに対するMicrosoft Purview Message Encryption、暗号化されたバックアップ保管庫などです。

暗号化と復号とは何ですか？

暗号化は、鍵を使って読めるデータを暗号文に変えることです。復号は、正しい鍵で元に戻すことです。たとえばBitLockerで保護されたノートPCのディスクは、鍵、または端末のTPMによる解除がなければ読めません。

暗号化の強制を含む端末保護をご検討の場合は、エンドポイントセキュリティ保護サービスをご覧ください。