Windows มีระบบป้องกันข้อมูลในตัวที่เรียกว่า การเข้ารหัสไดรฟ์ (Drive Encryption) เพื่อป้องกันไม่ให้บุคคลอื่นเข้าถึงข้อมูลของคุณ หากเครื่องสูญหาย ถูกขโมย หรือมีการถอดดิสก์ไปเสียบเครื่องอื่น ระบบนี้จะเข้ารหัสข้อมูลทั้งหมดไว้ในระดับดิสก์ ทำให้ไม่สามารถอ่านได้จนกว่าจะปลดล็อกด้วยรหัสหรือกุญแจที่ถูกต้อง

Windows มีระบบเข้ารหัสอยู่สองแบบคือ Device Encryption และ BitLocker ซึ่งใช้เทคโนโลยีเดียวกันในการปกป้องข้อมูล แต่แตกต่างกันที่จุดตั้งค่าและระดับการควบคุมของผู้ใช้

ทั้งสองระบบนี้มีให้ใช้งานใน Windows 10 และ 11 ทุก Edition ถ้าอุปกรณ์ของคุณมีฮาร์ดแวร์ที่รองรับ เช่น TPM 2.0 และ Secure Boot เพียงแต่ BitLocker แบบเต็มรูปแบบจะมีเฉพาะในรุ่น Pro, Enterprise และ Education เท่านั้น

Device Encryption คืออะไร

Device Encryption เป็นระบบที่ Windows ตั้งใจทำให้ใช้งานง่ายที่สุด โดยจะเปิดให้อัตโนมัติเมื่อเครื่องของคุณมีชิป TPM, เปิด Secure Boot และคุณลงชื่อเข้าใช้ด้วย Microsoft Account หรือบัญชีองค์กร (Azure AD)

ระบบนี้จะเข้ารหัสไดรฟ์ระบบทั้งหมดโดยอัตโนมัติ และบันทึก Recovery Key (รหัส 48 หลัก) ไว้ในบัญชี Microsoft ของคุณโดยอัตโนมัติ เพื่อให้สามารถใช้กู้คืนได้หากเครื่องถูกล็อก

วิธีเปิดหรือปิด Device Encryption

Windows 11:

• เปิด Settings (การตั้งค่า)
• ไปที่ Privacy & security (ความเป็นส่วนตัวและความปลอดภัย)
• กด Device encryption (การเข้ารหัสอุปกรณ์) แล้วเปิดสวิตช์

Windows 10:

• เปิด Settings
• ไปที่ Update & Security (อัปเดตและความปลอดภัย)
• เลือก Device encryption แล้วเปิดสวิตช์

เมื่อเปิดสวิตช์แล้ว ระบบจะสร้างและบันทึก Recovery Key เข้าบัญชี Microsoft หรือ Azure AD โดยอัตโนมัติ และจะเริ่มเข้ารหัสจริงหลังจากคุณลงชื่อเข้าใช้บัญชีนั้น

Recovery Key นี้จะไม่ถูกใช้ในขั้นตอนเปิดหรือปิดการเข้ารหัส แต่จะใช้เฉพาะในกรณีที่ระบบต้องการยืนยันตัวตนก่อนบูต เช่น เมื่อเปลี่ยน TPM, อัปเดตเฟิร์มแวร์ หรือพบความผิดปกติด้านความปลอดภัย

การปิด: สามารถกด “Turn off” ได้ทันทีโดยไม่ต้องกรอกรหัส ระบบจะถอดการเข้ารหัสทั้งหมดโดยอัตโนมัติ

BitLocker คืออะไร

BitLocker คือระบบเข้ารหัสเต็มรูปแบบของ Windows ที่ให้ผู้ใช้ควบคุมได้ละเอียดกว่า Device Encryption โดยเปิดให้ใช้งานในรุ่น Pro, Enterprise และ Education

BitLocker ให้เลือกวิธีปลดล็อกได้หลายแบบ เช่น TPM อย่างเดียว, TPM + PIN, รหัสผ่าน หรือ USB Startup Key เมื่อเปิดใช้งาน ระบบจะเข้ารหัสทั้งไดรฟ์ทันทีและสร้าง Recovery Key 48 หลัก เพื่อใช้ในกรณีที่คุณลืม PIN หรือเกิดปัญหากับฮาร์ดแวร์

วิธีเปิด BitLocker

• เปิด Control Panel
• ไปที่ System and Security → BitLocker Drive Encryption
• คลิก “Turn on BitLocker” ที่ไดรฟ์ที่ต้องการ
• เลือกวิธีปลดล็อก
• ก่อนเริ่มเข้ารหัส ระบบจะให้คุณเลือกว่าจะบันทึก Recovery Key ที่ใด เช่น บัญชี Microsoft, ไฟล์ .txt, USB Drive หรือพิมพ์เก็บไว้
• ยืนยันการบันทึกคีย์ แล้วรอให้ระบบเข้ารหัสจนเสร็จ

ระบบจะไม่เริ่มเข้ารหัสจริงจนกว่าคุณจะยืนยันการบันทึก Recovery Key เรียบร้อย เพื่อให้แน่ใจว่ามีกุญแจสำหรับกู้คืนอยู่ในที่ปลอดภัย

วิธีปิด BitLocker

• เปิด Control Panel → BitLocker Drive Encryption
• คลิก “Turn off BitLocker”
• ระบบจะเริ่มถอดการเข้ารหัสทั้งหมด

ความสัมพันธ์ระหว่างทั้งสองระบบ

Device Encryption และ BitLocker ใช้เทคโนโลยีเดียวกันแต่คนละวิธีการควบคุม

Device Encryption จะเปิดอัตโนมัติและจัดการทุกอย่างให้ผู้ใช้ โดยเน้นความง่ายและความปลอดภัยพื้นฐาน ส่วน BitLocker จะให้ผู้ใช้ตั้งค่าเองทั้งหมด เลือกวิธีปลดล็อก กำหนดนโยบาย และเก็บคีย์เองได้

หากเปิด BitLocker บนไดรฟ์ที่ Device Encryption จัดการอยู่ ระบบจะสลับไปใช้โหมด BitLocker เต็มรูปแบบแทน

พูดให้เข้าใจง่าย: Device Encryption คือ BitLocker แบบอัตโนมัติที่ Windows จัดการให้เอง ส่วน BitLocker คือเวอร์ชันที่ให้ผู้ใช้ควบคุมได้ทุกอย่าง

Recovery Key คืออะไร และอยู่ที่ไหน

Recovery Key คือรหัส 48 หลักที่ใช้ปลดล็อกไดรฟ์เมื่อระบบตรวจพบปัญหาด้านความปลอดภัย เช่น การเปลี่ยนชิป TPM หรือเฟิร์มแวร์

ตำแหน่งที่เก็บได้มีดังนี้:

• บัญชี Microsoft Account (https://account.microsoft.com/devices/recoverykey)
• บัญชีองค์กร (Azure AD หรือ Active Directory)
• ไฟล์ .txt หรือ USB (สำหรับ BitLocker เท่านั้น)
• กระดาษที่พิมพ์เก็บไว้

หมายเหตุ: Device Encryption จะเก็บ Recovery Key ในบัญชี Microsoft หรือ Azure AD โดยอัตโนมัติเท่านั้น ไม่มีตัวเลือกเก็บในไฟล์หรือ USB แบบ BitLocker

ถ้าลืมรหัสหรือเครื่องถูกล็อก

• เข้าไปที่ account.microsoft.com/devices/recoverykey
• ลงชื่อเข้าใช้บัญชี Microsoft เดียวกับที่ใช้ในเครื่อง
• ค้นหา Recovery Key ที่ตรงกับหมายเลขเครื่อง
• ป้อนคีย์ 48 หลักนั้นในหน้าจอ BitLocker เพื่อปลดล็อกเครื่อง

หากเป็นเครื่องขององค์กร ให้ติดต่อผู้ดูแลระบบเพื่อขอคีย์จาก Azure AD หรือ Active Directory

ควรเปิดหรือไม่

ควรเปิดเสมอ โดยเฉพาะอุปกรณ์พกพา เช่น Notebook หรือ Tablet เพราะไม่ได้ส่งผลต่อการทำงานทั่วไป แต่ช่วยปกป้องข้อมูลได้มากในกรณีเครื่องสูญหายหรือถูกขโมย