BitLocker回復キーを求められたら — 中小企業の対処手順と管理方法

PCを起動したら、青や黒の画面に「BitLocker 回復」「回復キーを入力してください」と表示され、いつもの Windows が立ち上がらない。社内にIT担当がいない会社では、これだけで業務が止まりかねない。結論から言う。慌てて電源を何度も入れ直したり、初期化・再インストールをしたりしてはいけない。 画面に出ている「回復キーID」を控え、48桁の数字でできた回復キーを保管場所から探して入力すれば、ほとんどの場合はそのまま復旧できる。一方で、回復キーが本当にどこにも残っていなければ、中のデータを取り出す方法はない。 Microsoftもメーカーも解除はできない。だからこそ、トラブルが起きる前にキーの保管場所を把握しておくことが最大の対策になる。

本稿では、BitLocker回復画面が出る理由、回復キーの探し方、見つかったときの手順、見つからないときの現実的な選択肢、そして中小企業が無理なく続けられるキー管理の方法を整理する。PC全般の初動はIT緊急対応の初動ガイドも参照してほしい。

BitLockerは、Windowsに搭載されているドライブ暗号化機能である。PCを盗まれたり紛失したりしても、SSDを取り外して別のPCにつなぐだけでは中身を読めないようにする仕組みだ。通常は、PCに搭載されたセキュリティチップ（TPM）が「このPCの、いつもの状態で起動している」ことを確認して自動的に鍵を渡すので、利用者は暗号化を意識せずに使える。

ところが、起動時の環境が「いつもと違う」とTPMが判断すると、鍵を渡さずに回復キーの入力を求める。これが回復画面である。画面には「回復キーID」（英数字の長い文字列）と、キーの保管場所を示すヒントが表示されることが多い。故障ではなく、暗号化が正しく働いている証拠でもある。

見落とされやすい点がある。Windows 11 Home を含む多くの新しいPCでは、「デバイスの暗号化」という簡易版のBitLockerが、購入後の初期設定時に自動で有効になる。 Microsoftアカウントでサインインした場合、回復キーはそのアカウントに自動保存される。つまり利用者本人は暗号化がオンになっていることを知らないまま、ある日突然回復画面に遭遇する、ということが起こる。

回復画面が出る引き金は、「起動環境の変化」である。中小企業で遭遇しやすいものを挙げる。

- BIOS／UEFI・ファームウェアの更新：メーカーの更新ツールやWindows Update経由の更新で、TPMの確認値が変わる
- TPM設定の変更・初期化：BIOS画面でTPMを無効化・クリアした、または基板交換で変わった
- セキュアブート設定の変更：BIOS設定の変更、OSの起動設定の変更
- ハードウェアの変更・修理：マザーボードやSSDの交換、修理後の返却時
- 起動順序やドッキングステーションの影響：USBメモリや外付けドライブを接続したまま起動した、ドックの接続状態が変わった
- Windows Updateの不具合や中断：更新途中の強制終了、更新後の起動環境の変化
- PINの連続入力ミス：起動時PINを設定している場合、誤入力が続くとロックされる

「何もしていないのに突然出た」と感じる場合でも、多くはファームウェアの自動更新や、修理・設定変更といった裏の出来事が原因である。原因が分からなくても、回復キーさえあれば入力して通常起動に戻れることがほとんどだ。

回復キーは、PCをセットアップしたときの状況によって保管場所が決まる。次の表の上から順に確認していく。

どの保管場所でも共通して大切なのが回復キーIDの照合である。1台のアカウントに複数のPCのキーが並んでいたり、同じPCに過去のキーが残っていたりするため、画面に表示されている回復キーIDの先頭8文字と一致するものを選ぶ。別のキーを入力しても解除されない。

なお「どのアカウントでセットアップしたか」が分からないことが多い。その場合は、そのPCを日常使っていた人のMicrosoftアカウントと、会社のMicrosoft 365アカウントの両方で確認する。社員が個人のアカウントでPCを設定してしまっていた場合、キーはその社員の個人アカウントにしか存在しないので、本人の協力が必要になる。

落ち着いて、次の順に進める。

1. 画面を写真に撮る：回復キーIDの先頭部分と、表示されているメッセージをスマホで撮影する。
2. 電源の入れ直しを繰り返さない・初期化しない・再インストールしない：再インストールや初期化を選ぶと、暗号化されたデータは復元できなくなる。
3. 接続している周辺機器を外す：USBメモリや外付けドライブ、ドックを外すだけで解消する場合もある。
4. セットアップに使ったアカウントを確認する：個人のMicrosoftアカウントか、会社のアカウントか、ドメインか。
5. 別の端末でキーを検索する：別のPCやスマホから、前章の表の保管場所を確認し、回復キーIDが一致するものを探す。
6. 48桁のキーを入力する：数字だけで入力する。ファンクションキー操作が必要な画面もあり、数字キー列の入力を求められる機種がある。
7. 復旧後、BitLockerを一時停止してから更新する：今後BIOSやファームウェアを更新する前には、BitLockerの保護を一時停止（中断）し、更新後に再開する。

復旧できたら、そのPCのキーがどこに保管されているかを必ず記録しておく。次回困らないための最も簡単な対策である。社用PCの紛失・盗難時にも暗号化は大きな意味を持つため、社用PC・スマホの紛失・盗難時の対応もあわせて確認しておくとよい。また、起動しない原因が暗号化ではなく別の不具合の可能性もあるので、切り分けにはパソコン・ネットの不調切り分けが役に立つ。

ここは正直に書く。BitLockerには裏口がない。 回復キーも回復キーIDに紐づく情報も、Microsoftやメーカー、PC販売店が自社の側で持っているわけではない（利用者のアカウントや管理者の管理下にある場合を除く）。サポートに電話しても、第三者が暗号化を解除することはできない。データ復旧業者も、暗号化されたドライブの中身を鍵なしで読み出すことはできない。

回復キーが見つからないとき、現実的な選択肢は次の2つだ。

- バックアップから復元する：OneDrive、NAS、外付けドライブ、クラウドストレージなどにデータが残っていれば、PCを再セットアップしたうえで戻す。
- PCを初期化して再セットアップする：データは失われるが、PCは再び使える状態に戻る。

どちらを選んでも業務が止まる時間は発生する。以下は、あくまで目安である。環境や台数、データ量によって大きく変わる。

最も痛いのは、バックアップもない状態でキーも失ったケースだ。このとき失われるのは、作業時間よりもデータそのものである。逆に言えば、バックアップが取れていれば、キーを失っても被害は「半日〜1日の作業」で収まる。キー管理とバックアップは、必ずセットで考える。

中小企業が現実的に選べる管理方法は大きく3つある。会社の規模とPC台数に応じて選びたい。

従業員が数名で、PCが数台なら、アクセス権限を限定した台帳でも運用は可能だ。ただし、台帳は必ず更新が止まる。10台を超える、あるいは退職・入社が頻繁にある会社では、Microsoft Entra IDとIntuneでキーを自動的に会社側へ保管する構成を検討したい。Intuneは Microsoft 365 Business Premium などに含まれており、スマホの管理もあわせて整備できる。詳しくはスマホ・PCの管理（MDM）の導入ガイドを参照してほしい。

回復画面が出てからでは遅い。次の項目を、できるものから順に進めてほしい。

- 暗号化されているPCを洗い出す：設定の「プライバシーとセキュリティ」→「デバイスの暗号化」またはBitLockerの項目で、各PCの状態を確認する
- 回復キーを会社側で一元的に保管する：Entra ID／Intuneでの自動保管、または権限を限定した台帳で管理する
- 会社のPCを個人のMicrosoftアカウントでセットアップさせない：会社のアカウントで設定するルールにする
- BIOS・ファームウェア更新の前にBitLockerを一時停止する：更新手順書に1行加える
- 退職・異動時にキーを回収する：退職者のIT対応チェックリストに「回復キーの所在確認」を加える
- バックアップを取る：OneDriveやNASなどに、重要データの複製を持つ
- 定期的に確認する：半年に1回、実際にキーを引き出せるかを試す

特に最後の「引き出せるかを試す」は見落とされやすい。台帳があっても、いざというときに開けなかったり、記載が古かったりするのは、よくある失敗である。

BitLockerの回復キーを求められたら、電源の入れ直しや初期化はせず、回復キーIDを控えて、保管場所から48桁のキーを探す。保管場所は、個人のMicrosoftアカウント、Entra ID、Active Directory、紙・ファイル、業者の記録が中心だ。見つからなければ、データを取り出す手段はなく、バックアップだけが頼りになる。回復キーの所在を会社として把握し、BIOS更新前の一時停止、退職時の回収、バックアップをルール化しておけば、この画面は「少し驚くが、半日で終わる出来事」に変えられる。