禁用USB存储设备最彻底的方法是注册表法：将HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR下的Start值由3改为4，重启后系统完全不识别U盘和移动硬盘，连设备管理器中都无显示。

防止他人通过U盘、移动硬盘或网络途径非法拷贝公司重要业务数据，需从系统底层控制、权限约束和行为拦截三方面同步生效。仅靠文件加密或单点限制无法真正阻断拷贝路径，必须切断可执行通道并留下操作痕迹。

禁用所有USB存储设备（注册表法）

这一步直接让系统“看不见”U盘和移动硬盘，连识别环节都被跳过，比组策略更彻底。适用于Windows 10/11专业版及企业版，无需额外软件。

按 Win + R 打开运行框，输入 regedit → 回车确认，以管理员身份运行注册表编辑器。

依次展开路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR。

在右侧找到名为 Start 的DWORD（32位）值，双击打开 → 将“数值数据”由默认的 3 改为 4 → 点击确定。

【修改前务必右键导出该键值备份】，否则误操作导致USB键盘/鼠标失效时无法回退。

重启电脑后插入U盘，设备管理器中不会出现新磁盘，资源管理器无盘符，且不弹任何提示——这是生效标志。

用组策略彻底封锁可移动存储（推荐企业环境）

此方法比注册表更易批量部署，且支持分级控制，适合IT部门统一推送策略到域内所有终端。

第一步：按 Win + R 输入 gpedit.msc → 回车打开本地组策略编辑器。

第二步：依次导航至：计算机配置 → 管理模板 → 系统 → 可移动存储访问。

第三步：找到并双击 所有可移动存储类：拒绝所有权限 → 选择“已启用” → 点击确定。

第四步：继续在此目录下，将 CD 和 DVD：拒绝读取权限 和 磁盘驱动器：拒绝读取权限 也设为“已启用”。【仅启用第一项会导致光驱仍可读取，存在绕过风险】

第五步：以管理员身份打开命令提示符，执行 gpupdate /force 强制刷新策略，无需重启即可生效。

限制特定用户对敏感文件夹的复制权限

即使U盘被禁用，员工仍可能通过微信、钉钉、浏览器上传等方式外泄数据。必须收缩文件本身的访问边界。

右键目标文件夹 → “属性” → “安全”选项卡 → 点击“高级” → 关闭“继承权限”，选择“从此对象中删除所有已继承的权限”。

点击“添加” → 选择对应业务部门用户组 → 在下方权限列表中，只勾选“读取和执行”“列出文件夹内容”“读取”，绝对不要勾选“写入”“修改”“取得所有权”或“更改权限”。

对子文件夹和文件也应用相同权限，并勾选“替换所有子对象的权限项”。

此时用户可双击打开Excel查看报表，但右键菜单中“复制”呈灰色，Ctrl+C无效，另存为会提示“拒绝访问”。

部署安企神实现透明加密+外发拦截

当业务系统必须允许员工编辑、传输文件时，透明加密是唯一兼顾效率与安全的方案。文件在本机正常打开，一旦离开授权环境即自动变为乱码。

方法一：安装安企神客户端 → 后台设置“文档自动加密策略”，指定业务系统常用路径（如D:\ERP_DATA\、C:\Users\Public\Reports\）→ 开启“强制加密”和“禁止截屏”。

方法二：在“外发管控”模块中，勾选微信、QQ、Outlook、Chrome、Edge等全部进程 → 设置“禁止剪贴板复制”“禁止拖拽到聊天窗口”“禁止网页上传”。

方法三：启用“水印叠加”，选择“动态文字水印”，内容填入员工姓名+工号+时间戳 → 所有PDF/Office/图片预览界面自动叠加半透明浮层，截图也无法去除。

安装完成后，员工打开加密文件毫无感知；但若将文件发给外部邮箱，对方收到的是无法解密的二进制乱码，且后台立即触发告警日志。