Un portatile lasciato in auto, un PC rubato dall’ufficio o un disco rimosso da un computer guasto possono esporre documenti, credenziali salvate e dati aziendali. Sapere come configurare BitLocker su Windows trasforma il disco in un archivio leggibile solo dopo un’autenticazione valida. Non è una protezione contro virus o accessi remoti: serve a impedire che qualcuno estragga i dati avviando il PC da un altro supporto o collegando l’unità a un altro sistema.
BitLocker è particolarmente utile per notebook, postazioni in home office e dispositivi che contengono file di lavoro. La procedura è alla portata anche di un utente non tecnico, ma c’è un passaggio che non ammette distrazioni: la chiave di ripristino va conservata prima di iniziare.
Prima di configurare BitLocker su Windows
BitLocker è disponibile in modo completo nelle edizioni Windows Pro, Enterprise ed Education. Windows Home può includere la funzione chiamata Crittografia dispositivo, più semplice e non sempre presente: dipende dall’hardware e dalla configurazione del produttore. Se nel Pannello di controllo non compare BitLocker, verificare prima l’edizione di Windows in Impostazioni > Sistema > Informazioni sul sistema.
La configurazione migliore utilizza il TPM (Trusted Platform Module), un componente di sicurezza integrato nella maggior parte dei PC recenti. Il TPM controlla che elementi critici dell’avvio, come firmware e configurazione di boot, non siano cambiati in modo sospetto. Se tutto corrisponde, BitLocker sblocca il disco automaticamente; se rileva una variazione rilevante, richiede la chiave di ripristino.
Prima di procedere, controllare questi punti:
- Eseguire un backup aggiornato dei file importanti su un supporto separato o su un servizio aziendale approvato.
- Accedere a Windows con un account amministratore e collegare il notebook all’alimentazione.
- Verificare di conoscere la password dell’account e di poter accedere all’eventuale account Microsoft usato per salvare la chiave.
- Evitare aggiornamenti di BIOS/UEFI, modifiche al TPM o cambi di componenti durante la crittografia.
Un disco con errori, poco spazio libero o segnali di guasto va sistemato prima. BitLocker non ripara un’unità instabile e, se il supporto si guasta, la crittografia non sostituisce un backup.
Verificare TPM, disco e modalità di avvio
Premere Windows + R, digitare `tpm.msc` e confermare. Nella finestra visualizzata dovrebbe comparire un messaggio che indica che il TPM è pronto per l’uso. Per Windows 11, il TPM 2.0 è normalmente già richiesto, quindi il controllo dovrebbe avere esito positivo sui PC compatibili.
Se il TPM risulta disabilitato, entrare nel firmware UEFI e cercare una voce come TPM, Intel PTT, AMD fTPM o Security Device Support. Non inizializzare o cancellare il TPM senza sapere cosa contiene: su un PC già cifrato o gestito dall’azienda questa operazione può rendere necessario il recupero con chiave BitLocker.
È utile anche verificare che il sistema usi UEFI e che il disco di sistema sia in buone condizioni. In particolare, su computer meno recenti può essere presente un avvio Legacy BIOS. BitLocker può funzionare anche in scenari diversi, ma le opzioni di sicurezza e la gestione del TPM possono cambiare. Per un PC personale, l’obiettivo pratico è semplice: TPM attivo, avvio regolare e backup disponibile.
| Scenario | Scelta consigliata | Attenzione |
|---|---|---|
| Notebook personale con TPM | TPM con PIN all’avvio, se il PC contiene dati sensibili | Il PIN va ricordato a ogni accensione |
| PC fisso in ambiente protetto | Solo TPM | Comodo, ma meno protettivo contro il furto fisico del PC completo |
| PC senza TPM | Password o chiave USB, previa configurazione dei criteri locali | La chiave USB deve essere sempre disponibile all’avvio |
| Unità esterna USB | BitLocker To Go con password | Usare una password lunga e distinta da quella di Windows |
Come attivare BitLocker sul disco di sistema
Aprire il menu Start e cercare Gestisci BitLocker, quindi selezionare la voce corrispondente nel Pannello di controllo. Accanto all’unità di sistema, normalmente `C:`, scegliere Attiva BitLocker. Windows avvia una procedura guidata e propone il metodo di sblocco compatibile con il dispositivo.
Con un TPM attivo, il sistema può usare il TPM da solo oppure richiedere anche un PIN. Per un computer che non esce mai da un ambiente controllato, il solo TPM riduce gli attriti quotidiani. Per un notebook trasportato spesso, TPM + PIN offre una protezione più alta: il furto del dispositivo non basta per avviare Windows, perché serve anche il codice scelto dall’utente.
Il PIN BitLocker non coincide necessariamente con il PIN di accesso a Windows. Va trattato come una credenziale separata. Sceglierne uno non prevedibile e annotarlo solo in un luogo protetto, non in un file non cifrato sullo stesso PC.
Salvare la chiave di ripristino: il passaggio decisivo
La chiave di ripristino BitLocker è un codice numerico di 48 cifre. Può essere richiesta dopo modifiche al firmware, interventi sul TPM, aggiornamenti particolari, variazioni dell’ordine di avvio o tentativi di accesso anomali. Senza questa chiave, Microsoft non può sbloccare il disco al posto dell’utente.
Windows propone varie destinazioni per il salvataggio. Per un PC personale, una combinazione ragionevole è conservarla nell’account Microsoft e stampare una copia da tenere lontano dal dispositivo. Per un contesto SMB, la chiave dovrebbe essere custodita nell’account o nel sistema di gestione previsto dall’organizzazione, con una procedura accessibile anche se il dipendente non è disponibile.
Non salvare la chiave nella cartella Documenti del PC cifrato, su una chiavetta lasciata nella borsa del notebook o in una foto non protetta sul telefono. Sono soluzioni apparentemente comode che falliscono proprio quando serve il recupero.
Scegliere quanto disco cifrare
Durante la procedura guidata Windows chiede se cifrare solo lo spazio usato oppure l’intera unità. Su un computer nuovo o appena configurato, cifrare solo lo spazio usato è più rapido e in genere sufficiente. Su un PC già utilizzato, soprattutto se ha ospitato dati riservati, è preferibile cifrare l’intera unità: anche settori che contenevano file eliminati possono conservare tracce recuperabili.
Viene poi proposta la modalità di crittografia. Per il disco interno di un PC che resterà su Windows moderno, scegliere la nuova modalità di crittografia. La modalità compatibile ha senso soprattutto per unità rimovibili che devono essere lette anche da versioni meno recenti di Windows.
Prima dell’avvio effettivo, attivare il controllo del sistema BitLocker. Al riavvio, Windows verifica che il meccanismo di sblocco funzioni correttamente. Solo dopo questo test parte la cifratura in background. Il PC resta utilizzabile, ma durante l’operazione è meglio evitare spegnimenti forzati, sospensioni prolungate e attività pesanti su disco.
Configurare BitLocker senza TPM
L’assenza del TPM non impedisce sempre l’uso di BitLocker, ma richiede una configurazione aggiuntiva. Nelle edizioni Pro e superiori, aprire l’Editor Criteri di gruppo locali con `gpedit.msc`, quindi seguire il percorso Configurazione computer > Modelli amministrativi > Componenti di Windows > Crittografia unità BitLocker > Unità del sistema operativo.
Aprire il criterio relativo all’autenticazione aggiuntiva all’avvio, impostarlo su Abilitata e consentire BitLocker senza TPM compatibile. Dopo il riavvio della procedura di attivazione, Windows permetterà di scegliere una password oppure una chiave di avvio su unità USB.
Questa configurazione è valida, ma presenta un compromesso. La chiavetta USB deve essere inserita a ogni avvio e va protetta come una chiave fisica. Se viene persa, serve la chiave di ripristino; se viene lasciata sempre collegata al PC, il vantaggio di sicurezza si riduce molto.
Cifrare dischi dati e unità esterne
BitLocker non serve solo per `C:`. In Gestisci BitLocker è possibile attivarlo anche su dischi secondari interni, ad esempio un’unità `D:` che contiene archivi di lavoro. In questo caso si può configurare lo sblocco automatico quando l’utente accede al PC, purché l’unità di sistema sia già protetta da BitLocker.
Per hard disk esterni e chiavette USB, usare BitLocker To Go. La procedura richiede normalmente una password e una chiave di ripristino. È una scelta consigliata per backup portatili, documenti contabili e supporti che passano tra sede, casa e clienti. Tenere presente che chi riceve l’unità dovrà conoscere la password e disporre di una versione di Windows capace di leggerla.
Controlli dopo la configurazione e problemi comuni
Al termine, in Gestisci BitLocker lo stato dell’unità deve risultare attivo. Da Prompt dei comandi avviato come amministratore, il comando `manage-bde -status` mostra percentuale di cifratura, metodo applicato e protezioni abilitate. È un controllo utile anche dopo aggiornamenti importanti o interventi tecnici.
Se BitLocker richiede improvvisamente la chiave di ripristino, non tentare codici casuali. Recuperare la chiave dalla posizione scelta e valutare cosa è cambiato: aggiornamento BIOS, reset del TPM, modifica dell’ordine di boot, sostituzione della scheda madre o variazione delle impostazioni Secure Boot sono cause frequenti. Dopo l’accesso, verificare che il TPM sia attivo e che le protezioni BitLocker risultino nuovamente abilitate.
Prima di aggiornare BIOS/UEFI o sostituire componenti, è prudente sospendere temporaneamente BitLocker dalla relativa schermata di gestione. Al termine dell’intervento, riattivarlo e conservare comunque la chiave di ripristino. Sospendere non significa decifrare il disco: evita richieste inattese durante una modifica pianificata.
La protezione migliore è quella che si riesce a recuperare senza panico. Conservate la chiave in un luogo verificabile, testate periodicamente il backup e trattate ogni modifica al firmware come un’operazione che merita qualche minuto di preparazione.
