Windows 11において、個人データ暗号化 (PDE) は、ユーザーの重要なデータを保護するために導入された新機能である。PDEは、BitLockerによるボリューム全体の暗号化に加え、個別のファイルやフォルダを暗号化することで、より細かな保護を実現する。この機能は、Windows Hello for Businessを利用して認証を行い、万が一デバイスが紛失や盗難に遭った場合でも、データが不正にアクセスされることを防ぐ。

個人データ暗号化 (PDE) とは？

個人データ暗号化 (PDE) は、Windows 11バージョン22H2以降で導入された機能であり、個人データをファイル単位で保護する暗号化技術である。これにより、従来のBitLockerによるボリューム全体の暗号化に加え、ユーザーの写真やドキュメント、電子メールといった特定のデータが強固に保護される仕組みが提供される。

PDEは、Windows Hello for Businessを活用して認証を行い、ユーザーの認証情報に基づいて暗号化キーが生成される。これにより、ユーザーの顔認証や指紋認証、PINコードによってのみデータの復号が可能となり、不正アクセスが防止される。さらに、Windows 11対応デバイスではPDEがデフォルトで有効になっており、管理者権限を持つユーザーでも暗号化されたデータにはアクセスできない。

また、PDEはAES-CBC（256ビット）による高度な暗号化技術を採用しており、セキュリティ面での信頼性が高い。PDEの導入により、デバイスが盗難や紛失した場合でも、個人データが保護される点で強力なセキュリティ層が追加されたことになる。

PDEとBitLockerの違い

PDEとBitLockerは、どちらもWindows 11におけるデータ保護を目的とするが、その動作の違いが明確である。BitLockerは、デバイス全体のボリュームを暗号化する技術であり、システムが起動する際にすべてのデータを一度に暗号化・復号化するのに対し、PDEは特定のファイルやフォルダ単位での暗号化を行う。

BitLockerでは、デバイスが起動すればすべてのデータにアクセスできるが、PDEではユーザーがWindows Hello for Businessを通じて認証を行わない限り、暗号化されたファイルにはアクセスできない。このため、PDEはユーザーが個別に管理したいデータの保護に向いており、より柔軟で高度なセキュリティを提供する。

さらに、PDEはネットワーク越しのアクセスを制限するという特徴も持つ。つまり、PDEで保護されたデータは、ネットワーク上の共有フォルダからはアクセスできないため、データ流出のリスクがさらに低減される。一方で、BitLockerはデバイス全体を守る基礎的なセキュリティ層として機能し、PDEはその上に追加される保護層と考えるべきである。

PDEの導入条件と設定方法

PDEを使用するためには、いくつかの条件を満たす必要がある。まず、デバイスがWindows 11バージョン22H2以降を実行していることが必要であり、エンタープライズまたはエデュケーション版のWindowsが必要である。Windows 11 HomeやProエディションでは、この機能は利用できない。また、デバイスがMicrosoft Entra ID（旧Azure AD）に参加している必要があり、従来のActive Directoryに接続されているデバイスは対象外となる。

加えて、PDEはWindows Hello for Businessを使用することが前提であり、従来のパスワード方式ではなく、顔認証、指紋認証、またはPINを用いた認証が必須である。これにより、個別のユーザー認証によるファイルのセキュリティが確保される。

設定方法としては、BitLockerがまず有効であることが推奨される。さらに、Microsoft Intuneを利用する場合、ディスク暗号化ポリシーを作成し、PDEを有効にする設定を追加する。これにより、企業内のすべてのデバイスでPDEが統一的に管理され、データ保護が徹底される仕組みとなる。

PDEが提供する追加のセキュリティ保護

PDEは、特にデバイスの紛失や盗難に対するセキュリティ保護として有効である。デバイスそのものが物理的に奪われた場合でも、PDEを使用することでデータが外部からアクセスされるリスクを極限まで低減できる。PDEによって保護されたファイルは、ユーザーがWindows Hello for Businessで認証を行わない限り、復号されることがないからである。

BitLockerでは、デバイスが起動する際にすべてのデータが一度に暗号化・復号化されるため、起動後にデバイスにアクセスできる者はすべてのデータにアクセスできる可能性がある。これに対して、PDEでは、特定のファイルやフォルダのみが対象となるため、物理的にデバイスが手元から離れても、重要なデータが守られる。

さらに、PDEは、組織がデータ保護規制に準拠するための手段としても役立つ。データの暗号化により、万が一の情報漏洩時でも、第三者がデータにアクセスすることは困難である。これにより、コンプライアンスを確保しつつ、データセキュリティの強化を図ることができる。