Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第3部 3-5

鍵管理と暗号化とは｜ストレージ暗号化・ファイル暗号化・危殆化

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • ノートパソコンを紛失したとき／暗号化の鍵の管理を聞かれたとき
  • BitLockerやFileVaultの回復キーを、どこに保管すればいいか決めたいとき
  • SGや支援士、Security+の勉強で、ストレージ暗号化・ファイル暗号化・危殆化の違いをつかみたいとき

読み終えたあと、社内でこう言えます

「パソコンの回復キーを、端末とは別の場所でまとめて管理しました」

結論：暗号化の強さは、方式よりも鍵をどう管理するかで決まります。パソコンのディスク全体を暗号化する「ストレージ暗号化」は、紛失や盗難に強い備えです。ただし回復キーを本人しか知らないと、故障のときに会社がデータを取り出せません。回復キーは端末とは別の、会社が管理する場所にまとめて保管します。個人データが入ったパソコンをなくしても、適切に暗号化し鍵を分けて管理していれば、個人情報保護委員会への報告がいらない場合があります。

ストレージ暗号化とファイル暗号化の違いと、回復キーを端末と別に会社で保管する鍵管理の流れ

暗号化の強さは「鍵の管理」で決まる

暗号化は、データに鍵をかけて、鍵を持つ人だけが読めるようにする仕組みです（基本は暗号の基本で扱いました）。今使われているAESなどの方式は、鍵がなければ現実的には解けません。

裏を返すと、鍵が漏れれば、どんなに強い方式でも読まれます。逆に鍵をなくせば、持ち主も読めません。攻撃者が狙うのも方式の弱さより、鍵の置き場所です。そこで、鍵を作ってから捨てるまでを管理します。これを鍵管理と言います。

段階やることよくある失敗
作る十分な長さの鍵を、推奨された方式で作る。短いパスワードを鍵の代わりにする。
保管する暗号化したデータとは別の場所に、見られる人を絞って置く。回復キーを同じパソコンのデスクトップに保存する。
使う・渡す必要な人だけが使う。渡すときはデータと別の経路で。暗号化ファイルと鍵を同じメールで送る。
更新する決めた期間ごと、または漏れた疑いがあれば作り直す。退職者が知る鍵を使い続ける。
捨てる不要になった鍵を確実に消す。端末の廃棄記録を残す。鍵の控えだけが紙で残り続ける。

米国のNIST SP 800-57も、鍵の種類ごとに使ってよい期間（暗号期間）を決め、保護と更新を続けることを勧めています。

危殆化：鍵や方式が安全でなくなること

危殆化（きたいか）は、暗号の安全性が損なわれることです。原因は大きく2つあります。

方式については、国の暗号評価の仕組みCRYPTRECが「CRYPTREC暗号リスト」を公開しています。2026年3月の改定版でも、AESは推奨のリストに載っています。一方、SHA-1や3-key Triple DESは、使い続けている所があるため見守る「運用監視暗号リスト」に置かれています。新しく選ぶなら推奨のリストから選びます。

ストレージ暗号化とファイル暗号化の違い

同じ「暗号化」でも、何に鍵をかけるかで守れる場面が違います。取引先のチェックシートで聞かれるのも、この区別です。

種類鍵をかける対象守れる場面守れない場面
ストレージ暗号化ディスク全体（BitLocker、FileVaultなど）電源を切った端末の紛失・盗難。ディスクを抜き取られたとき。ログイン中に盗み見られたとき。メールやクラウドで外に出たファイル。
ファイル暗号化ファイル1つずつファイルを外に送る・USBメモリで運ぶとき。共有フォルダで見せる人を絞るとき。鍵（パスワード）が一緒に漏れたとき。

ストレージ暗号化は、パソコンにログインすると中身が自動で読める状態になります。つまりログインした後の脅威には効きません。ウイルス対策や画面ロックと組み合わせて使います。ファイルを外へ渡すときの注意はメールの暗号化の節にまとめています。

BitLocker・FileVaultの回復キーをどこに置くか

ストレージ暗号化には、パスワードを忘れたときや、部品の交換でディスクが開かなくなったときのための回復キーがあります。回復キーは、いわば合鍵です。置き場所を誤ると、2つの事故が起きます。

  1. 合鍵が泥棒の手に渡る：回復キーを端末と一緒に保管すると、端末を拾った人が開けられる。
  2. 誰も開けられなくなる：回復キーを社員の個人アカウントだけに保存すると、退職や故障のときに会社が取り出せない。

メーカーが用意している保管先は、次のとおりです。

OS回復キーの保管先注意
Windows（BitLocker）Microsoftアカウント、職場または学校のアカウント（Microsoft Entra ID）、印刷、USBメモリなどMicrosoftのサポートは、なくした回復キーを取り出すことも作り直すこともできない。Microsoftは組織ではEntra IDなどへの保存を勧めている。
Mac（FileVault）iCloudアカウント、または回復キー。会社や学校が回復キーを設定することもできる。パスワードを忘れ、回復キーもなくすと、データは二度と取り出せない。回復キーはMacと別の場所に保管する。

会社としての置き方

ノートパソコンを紛失したとき：「高度な暗号化」の考え方

個人データが入ったパソコンをなくすと、漏えいの「おそれ」として扱います。一定の場合には、個人情報保護委員会への報告と本人への通知が必要です。手順は会社のパソコン・スマホをなくしたらにまとめています。

ただし、データに高度な暗号化などの秘匿化がされていれば、報告はいりません。個人情報保護委員会のQ&A（Q6-19）は、その条件を次のように説明しています。

条件中身
方式その時点の技術で、第三者が読める状態にするのが難しい暗号化であること。電子政府推奨暗号リストやISO/IEC 18033に載った方式を、適切に実装していることなど。
鍵の管理次のどれかを満たすこと。①暗号化したデータと復号の鍵を分けて管理し、鍵が漏れないようにしている。②データや鍵を遠隔で消せる。③第三者が鍵を使えない仕組みにしている。

つまり暗号化していても、鍵の管理が伴わなければ報告が必要になりうるということです。回復キーを付箋で端末に貼っていた、という状態では条件を満たせません。報告がいるかどうか迷うときは、個人情報が漏れたときの報告と通知も参考にしてください。

たとえば社員40人の訪問介護の事業所では（架空の例）

訪問先の記録を入れたノートパソコンを、職員が電車に置き忘れました。中には利用者の病状の記録があり、要配慮個人情報に当たります。本来なら報告が必要になる場面です。

この事業所では、全台でBitLockerを有効にし、回復キーを会社のEntra IDに預けていました。職員は回復キーを知りません。端末は電源が切れた状態で、管理画面から遠隔で消去の指示も出せました。

このように暗号化・鍵の分離・遠隔消去がそろっていれば、Q&Aの条件に当たるかを落ち着いて判断できます。判断の根拠（暗号化の設定、回復キーの保管先、消去の記録）を残しておくことが大事です。最終的な判断に迷うときは、個人情報保護委員会に相談してください。

小さな会社の鍵管理ルール：最初の5行

鍵管理の規程を一から作る必要はありません。次の5行を社内ルールに書き、守れているかを年に1回確かめるところから始めます。

  1. 会社のパソコンは、すべてストレージ暗号化を有効にする。
  2. 回復キーは会社のアカウントか端末管理に保管し、見られるのは管理者だけとする。
  3. 暗号化したファイルを送るときは、鍵（パスワード）を別の経路で伝える。
  4. 鍵が漏れた疑いがあれば、すぐに作り直し、使っていた範囲を記録する。
  5. 端末を捨てる・返すときは、データを消した記録を残す。

退職者が出たときに、その人だけが知っている鍵やパスワードが残っていないかも確かめます。アカウントの棚卸しと一緒に見ると漏れが減ります。

チェックシートではこう聞かれる

よくある設問答え方の例
業務用のパソコンのディスクを暗号化していますか。はい。全台でBitLocker（MacはFileVault）を有効にし、端末の一覧で暗号化の状態を年1回確認しています。
暗号化の鍵（回復キー）をどのように管理していますか。回復キーは会社のMicrosoft Entra IDに保管し、閲覧できるのは管理者2名に限っています。端末と同じ場所には保管していません。
USBメモリなど持ち運べる媒体を暗号化していますか。いいえ。現在は使用を禁止する運用のみで、〇月までに暗号化機能のある媒体に限る規程を定める予定です。
使用している暗号方式は、推奨されるものですか。はい。ディスクとファイルの暗号化には、CRYPTREC暗号リストの推奨方式であるAESを使っています。

「暗号化しています」だけでは、取引先は判断できません。何を、どの方式で、鍵をどこにの3点を書くと伝わります。

試験ではここが問われる

SG・支援士・Security+ 1・AWS 5・CISSP 2

  • ストレージ暗号化とファイル暗号化：前者は紛失・盗難に強く、ログイン後の脅威には効かない。後者はファイルが外に出ても守れる。
  • 危殆化：鍵の漏えいや、技術の進歩で暗号の安全性が損なわれること。対策は鍵の作り直しと、推奨方式への移行です。
  • 鍵管理の原則：暗号化したデータと鍵を分けて保管する。鍵には使ってよい期間（暗号期間）を決める。
  • 高度な暗号化：個人情報保護法の漏えい等の報告では、適切な暗号化と鍵の管理がそろえば報告の対象外になりうる。
  • AWSとCISSP：AWSではKMSでの鍵の管理（データ鍵をさらに別の鍵で暗号化する「エンベロープ暗号化」）、CISSPでは保存データの保護と鍵のライフサイクルが問われます。

確認問題

問1 ノートパソコンでストレージ暗号化（ディスク全体の暗号化）を有効にしたとき、最も効果が期待できる場面はどれですか。

  1. ア ログイン中の端末で、ウイルスがファイルを外へ送る
  2. イ 電源を切った端末を盗まれ、ディスクを抜き取られる
  3. ウ 社員がファイルを誤って社外のアドレスに送る
  4. エ 共有フォルダの権限設定の誤りで、他部署から見られる
答えと解説
正解：イ　ストレージ暗号化は、電源を切った端末やディスクが他人の手に渡ったときに中身を守ります。ログインしている間は中身が読める状態なので、ア・ウ・エの場面には効きません。

問2 社員18人の税理士事務所（架空）で、BitLockerを全台に入れました。回復キーの保管として、最も適切なものはどれですか。

  1. ア 各パソコンのデスクトップに、テキストファイルで保存する
  2. イ 社員それぞれの私用のアカウントだけに保存させる
  3. ウ 会社が管理するアカウントに保存し、閲覧できる管理者を限る
  4. エ 紙に印刷し、各パソコンのケースに入れておく
答えと解説
正解：ウ　回復キーは端末と別の場所に置き、会社が取り出せるようにします。アとエは端末と一緒に盗まれるので意味がありません。イは退職や故障のときに会社が取り出せなくなります。

問3 「危殆化」の説明として、最も適切なものはどれですか。

  1. ア 暗号化したデータを、正しい鍵で元に戻すこと
  2. イ 鍵の漏えいや技術の進歩により、暗号の安全性が損なわれること
  3. ウ 同じデータから、常に同じ長さの値を作ること
  4. エ 暗号化と復号に、同じ鍵を使う方式のこと
答えと解説
正解：イ　危殆化は暗号が安全でなくなることです。アは復号、ウはハッシュ関数の性質、エは共通鍵暗号方式の説明です。

よくある質問

Windowsのパソコンは、最初から暗号化されていますか？
機種や版によって違います。「デバイスの暗号化」が自動で有効になる機種もあれば、自分でBitLockerを有効にする必要がある機種もあります。設定画面で状態を確かめ、回復キーの保管先も合わせて確認してください。
パスワード付きのZIPファイルは、ファイル暗号化に入りますか？
はい、ファイル暗号化の一種です。ただし、パスワードを同じメールで送ると、鍵を一緒に渡すことになります。鍵の管理として成り立たないため、別の経路で伝えるか、共有リンクで渡す方法を選びます。
回復キーを見られる管理者が辞めたら、どうしますか？
管理者の権限を外し、ほかの管理者が回復キーを取り出せるかを確かめます。管理者が1人しかいないと、その人が辞めた時点で取り出せなくなるおそれがあります。管理者は2人以上にしておくと安心です。

暗号化の設問の回答づくりは任せて、確認だけに

Moshiruは、打合せなしでテキストだけでお受けします。取引先から届いたセキュリティチェックシートに、御社の実態に合わせた回答を作ってお返しします。暗号化の方式や鍵の管理の書き方、まだできていない項目の予定の書き方も添えます。

回答代行を見る20問まで1.5万円・打合せなしメニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. 個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」Q6-19
  2. 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（2026年6月一部改正）
  3. CRYPTREC「CRYPTREC暗号リスト」（CRYPTREC LS-0001-2022R2、2026年3月）
  4. NIST「SP 800-57 Part 1 Rev. 5: Recommendation for Key Management」（2020年5月）
  5. Microsoft「BitLocker 回復キーを見つける」
  6. Microsoft Learn「BitLocker recovery process」
  7. Apple「MacでFileVaultを使ってデータを暗号化する」（macOSユーザガイド）
  8. IPA「情報セキュリティマネジメント試験 シラバス」Ver.4.1（2025年4月）