Зачем шифровать диск
Ноутбук выносится из офиса, ездит в машине, остаётся в гостиничном номере. Если диск не зашифрован, злоумышленнику достаточно извлечь накопитель и подключить его к другому компьютеру — данные будут доступны без пароля Windows.
BitLocker решает эту задачу: содержимое диска шифруется, ключ хранится в защищённом модуле TPM и может быть дополнительно защищён PIN-кодом или паролем.
Для корпоративного парка это базовая мера, а не опция: без неё любой инцидент с утратой устройства превращается в утечку.
Требования
Чтобы включить BitLocker, нужны:
- Windows 11 Pro или Enterprise (в домашних редакциях доступны не все функции);
- TPM версии 1.2 или 2.0 (рекомендуется 2.0);
- включённый Secure Boot — желательно;
- учётная запись администратора для первоначальной настройки.
Проверка TPM выполняется командой tpm.msc: в окне должно быть указано «Готово к использованию» и версия 2.0.
Если TPM отключён в BIOS/UEFI, его нужно включить. У части моделей это делается в разделе Security.
Способы включения
1. Автоматически при входе в организацию. Современные системы управления устройствами включают шифрование по политике, как только устройство зарегистрировано.
2. Через параметры Windows. «Параметры» → «Конфиденциальность и защита» → «Шифрование устройства». Подходит для ручной настройки на пилоте.
3. Через управление дисками и manage-bde. Для сценариев, где нужен контроль над параметрами.
Для парка предпочтителен первый способ: он исключает человеческий фактор и обеспечивает единообразие.
Ключи восстановления
Самая частая ошибка при внедрении — потеря ключей.
Что нужно:
- автоматическая эскалация ключей в систему управления устройствами;
- запрет сохранения ключа только в локальном файле;
- отдельный процесс на случай, если устройство не зарегистрировано;
- проверка, что ключ действительно сохранился до включения шифрования.
Если ключ утерян, а TPM вышел из строя или изменилась конфигурация прошивки, данные восстановить невозможно. Это не гипотетический риск: замена материнской платы или сброс прошивки требуют ввода ключа.
Шаг 1. Пилот
Не включайте шифрование сразу на всём парке. Начните с 5–10 машин разных моделей:
- Проверьте TPM и Secure Boot.
- Включите шифрование.
- Убедитесь, что ключ сохранён в системе управления.
- Проверьте сценарий восстановления.
- Оцените влияние на скорость работы.
Обычно влияние на повседневную работу незаметно, но на старых накопителях первичное шифрование может занять часы.
Шаг 2. Массовое включение
После пилота:
- примените политику ко всему парку;
- отслеживайте статус: сколько устройств зашифровано;
- настройте отчёты о машинах без шифрования;
- определите срок, к которому все устройства должны быть зашифрованы.
Для ноутбуков, которые долго не выходят на связь, стоит предусмотреть отдельный сценарий: сотрудник подключается к сети, и политика применяется.
Шаг 3. Обработка исключений
Иногда шифрование включать нельзя или не нужно:
- устройства с нестандартной конфигурацией;
- машины, использующиеся для специфических задач;
- оборудование, не поддерживающее TPM.
Такие случаи стоит зафиксировать в реестре исключений: модель, серийный номер, причина, срок действия исключения.
Шаг 4. Обслуживание и ремонт
Перед работами, которые могут повлиять на прошивку или загрузочные записи, шифрование приостанавливают.
Практика:
- при обновлении BIOS — приостановить защиту, затем включить снова;
- при замене материнской платы — заранее получить ключ восстановления;
- при передаче устройства другому сотруднику — проверить статус шифрования.
После ремонта обязательно проверьте, что защита снова активна: сервис мог сбросить настройки.
Шаг 5. Проверка
Раз в квартал:
- Выгрузите список устройств и их статус шифрования.
- Проверьте, что для всех есть ключи в системе управления.
- Выборочно проверьте 5–10 машин на месте.
- Убедитесь, что исключения ещё актуальны.
Отчёт по шифрованию часто запрашивают при аудите безопасности — хорошо, если он формируется автоматически.
Типичные ошибки
- Шифрование без сохранения ключей. Потеря данных при сбое.
- Ручное включение на всём парке. Долго и с ошибками.
- Нет проверки после ремонта. Защита может остаться отключённой.
- Ключи в почте или файле на рабочем столе. Небезопасно и ненадёжно.
- Игнорирование старых устройств. Часть парка остаётся без защиты.
Итог
BitLocker в парке — это политика, а не разовая настройка: проверка TPM, централизованное включение, обязательное сохранение ключей, пилот и регулярная проверка статуса. Главное правило — ключ восстановления должен быть доступен компании, но не злоумышленнику.
Где хранить ключи восстановления
Ключ восстановления — это фактически доступ к данным на диске. Если он потерян, восстановить информацию практически невозможно; если он доступен посторонним, шифрование теряет смысл.
Правильная схема для парка:
- ключи автоматически сохраняются в каталоге организации при входе в домен;
- доступ к ним имеет ограниченный круг администраторов;
- выдача ключа фиксируется в журнале с указанием причины;
- при утилизации или передаче ноутбука ключ удаляется.
Ручное хранение в таблице или в почте недопустимо: такая таблица быстро расходится по сотрудникам и перестаёт быть защищённой.
Смена оборудования и переустановка
Перед переустановкой системы или заменой накопителя шифрование нужно приостановить. Иначе после изменения загрузочной конфигурации ноутбук попросит ключ восстановления при первом запуске.
Порядок:
- Приостановить защиту на время работ.
- Выполнить переустановку или замену.
- Включить защиту заново.
- Убедиться, что новый ключ сохранён в каталоге.
Если этот шаг пропустить, восстановление займёт часы, а иногда приведёт к потере данных.
Регламент для новых сотрудников
Новый ноутбук выдаётся уже с включённым шифрованием, но ключ должен быть сохранён до того, как сотрудник начнёт работать.
Проверка при выдаче:
- защита включена и завершена;
- ключ виден в каталоге;
- сотрудник проинформирован о том, что диск защищён;
- известно, к кому обращаться при запросе ключа.
Это часть стандартной процедуры выдачи, а не отдельная задача.
Как убедиться, что всё работает
Простая проверка раз в квартал:
- выборочно 5–10 машин: статус защиты, наличие ключа в каталоге;
- журнал запросов ключей: нет ли повторяющихся обращений;
- новые машины: все ли попали в каталог.
Регулярная проверка занимает меньше часа и предотвращает ситуацию, когда ключ понадобился, а его нет.
FAQ
Нужен ли TPM 2.0? Да, это рекомендуемая версия; TPM 1.2 тоже поддерживается, но с ограничениями.
Где хранить ключи восстановления? В системе управления устройствами или в защищённом хранилище.
Что будет при замене материнской платы? Потребуется ключ восстановления — поэтому он должен быть доступен.
Замедляет ли шифрование работу? На современных накопителях влияние на повседневные задачи почти незаметно.
Можно ли отключить шифрование? Технически да, но политика парка обычно это запрещает.
Как проверить статус?
Через manage-bde -status или отчёты системы управления.