Windows To Go のセキュリティとデータ保護に関する考慮事項
Windows To Go の展開を計画するうえで最も重要な要件の 1 つは、Windows To Go ワークスペースで使うデータ、コンテンツ、リソースがセキュリティで保護されており、安全であることです。
バックアップと復元
Windows To Go ドライブにデータを保存していない限り、Windows To Go 用のバックアップと復元のソリューションは必要ありません。Windows To Go ドライブにデータを保存しており、フォルダー リダイレクトとオフライン ファイルを使っていない場合は、各作業セッションの後にすべてのデータをネットワーク上の場所 (クラウド ストレージやネットワーク共有など) にバックアップする必要があります。実装できるさまざまなソリューションについては、信頼性の高いファイル サービスと記憶域によるインフォメーション ワーカーのサポートに関するページに記載されている新機能や強化された機能をご覧ください。
なんらかの理由で USB ドライブに障害が発生した場合、動作する状態にドライブを復元する標準のプロセスでは、Windows To Go でドライブを再フォーマットしてもう一度プロビジョニングするため、ドライブ上のすべてのデータとカスタマイズが失われます。これが、Windows To Go では移動ユーザー プロファイル、フォルダー リダイレクト、オフライン ファイルを使うことを強くお勧めするもう 1 つの理由です。詳しくは、「フォルダー リダイレクト、オフライン ファイル、移動ユーザー プロファイルの概要」をご覧ください。
BitLocker
ドライブを紛失したり、盗難にあった場合にドライブが侵害を受けることを防ぐために、Windows To Go ドライブでは BitLocker を使うことをお勧めします。BitLocker が有効な場合、ドライブのロックを解除して Windows To Go ワークスペースを起動するには、パスワードを入力する必要があります。これにより、承認されていないユーザーがドライブを起動し、ネットワーク リソースや機密データにアクセスするために利用するのを防ぐことができます。Windows To Go ドライブはコンピューター間でローミングすることを目的としているため、ドライブを保護するために BitLocker でトラステッド プラットフォーム モジュール (TPM) を使うことはできません。代わりに、BitLocker がディスクの暗号化と暗号化解除に使うパスワードを指定します。既定では、このパスワードは 8 文字にする必要がありますが、組織のドメイン コント ローラーが定義したパスワードの複雑さに関する要件に応じて、より厳しい要件を適用することもできます。
BitLocker は、初めて使う前に、ドライブのプロビジョニング プロセスの一環として Windows To Go 作成ウィザードを使っているときに有効にできます。また、Windows To Go ワークスペース内からユーザーが後で有効にすることもできます。
ヒント
Windows To Go 作成ウィザードで BitLocker を有効にできない場合は、「Windows To Go 作成ウィザードから BitLocker を有効にできないのはなぜですか。」をご覧ください。
BitLocker を有効にした Windows 7 が動作しているホスト コンピューターを使用している場合は、USB から起動するために BIOS 設定を変更する前に BitLocker を一時停止し、その後に BitLocker 保護を再開する必要があります。BitLocker を最初に一時停止していない場合は、次回コンピューターを起動するときに回復モードで起動します。
ディスクの検出とデータの漏洩
USB ドライブをプロビジョニングして偶発的なデータの漏洩を防ぐ場合は、NoDefaultDriveLetter 属性を使うことをお勧めします。NoDefaultDriveLetter を使うと、ユーザーが実行中のコンピューターにドライブを挿入したときに、ホスト オペレーティング システムがドライブ文字を割り当てないようにすることができます。つまり、ドライブがエクスプローラーに表示されず、自動再生プロンプトもユーザーに表示されません。これにより、エンド ユーザーが別のコンピューターから直接オフラインの Windows To Go ディスクにアクセスする可能性が低くなります。Windows To Go 作成ウィザードを使ってワークスペースをプロビジョニングする場合、この属性は自動的に設定されます。
Windows To Go とホスト システム間での偶発的なデータの漏洩を防ぐために、Windows 8 にはオペレーティング システムが内部接続されているディスクを自動的にオンラインにしないようにする新しい SAN ポリシー "4" (OFFLINE_INTERNAL) が追加されています。 Windows To Go の既定の構成では、このポリシーが有効になっています。Windows To Go ワークスペースを起動したときに内蔵ハード ドライブのマウントを許可するためにこのポリシーを変更したりしないことを強くお勧めします。内蔵ドライブに休止状態の Windows 8 オペレーティング システムが含まれている場合、ドライブをマウントすると、ホスト オペレーティング システムを起動したときに休止状態が失われ、ユーザーの状態や保存されていないユーザー データが失われます。内蔵ドライブに休止状態の Windows 7 以前のオペレーティング システムが含まれている場合、ドライブをマウントすると、ホスト オペレーティング システムを起動したときに破損が発生します。
詳しくは、Windows PE で記憶域ネットワーク (SAN) ポリシーを設定する方法に関するページをご覧ください。
Windows To Go のセキュリティ認定
Windows to Go は、ドライブに展開し、該当するセキュリティ認定のガイダンスに従って構成した場合、Windows の主要機能になります。Windows To Go を使って構築したソリューションは、ソリューション プロバイダーの特定のハードウェア環境に対応する追加の認定用に、ソリューション プロバイダーが提出することができます。Windows のセキュリティ認定について詳しくは、次のトピックをご覧ください。