注册表法禁用USB存储设备最彻底：将HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR下的Start值由3改为4并重启，系统不再加载USBSTOR驱动，U盘和移动硬盘完全不被识别，设备管理器中无对应条目。

公司电脑里存着客户名单、财务报表和产品设计图，一旦被员工用U盘悄悄拷走，轻则影响项目进度，重则引发法律纠纷和商业赔偿。优化防拷贝设置不是简单打几个勾，而是要让每道防线都咬合到位，既拦得住恶意操作，又不妨碍正常办公。

禁用USB存储设备（注册表法）

这是最底层、最硬核的拦截方式，系统级屏蔽所有U盘和移动硬盘识别，连设备管理器里都看不到它们。

按 Win + R 打开运行框，输入 regedit → 回车确认，弹出用户账户控制提示时点【是】。

在注册表编辑器中，逐级展开路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR。

在右侧窗格找到名为 Start 的 DWORD（32位）值，双击打开 → 将“数值数据”由默认的 3 改为 4 → 点击【确定】。

【改完必须重启电脑或重新插拔USB设备才生效】。插入U盘后若系统无任何提示、设备管理器中不显示“通用串行总线控制器”下新增设备，即表示成功。若后续需恢复使用，只需把数值改回3并重启即可。

启用BitLocker全盘加密（Windows专业版/企业版）

当设备丢失或被他人物理接触时，BitLocker能确保硬盘数据无法被挂载读取——哪怕拆下硬盘接到另一台电脑上，也只会看到一整块不可识别的乱码空间。

方法一：右键点击系统盘（通常是C:）→ 选择【启用BitLocker】→ 若提示“TPM未就绪”，先点【启用兼容模式】再继续。

方法二：进入【设置】→【隐私和安全性】→【设备加密】→ 确认状态为“已开启”。该方式自动启用，无需手动配置，但要求设备具备TPM芯片且已激活。

备份恢复密钥这一步绝不能跳过：必须选择“将恢复密钥保存到Microsoft账户”或“另存为文件”，【不备份=一旦忘记密码，数据永久丢失】。密钥文件建议打印一份纸质版锁进保险柜，电子版不要存在本机或同网盘中。

部署域智盾客户端实现行为级管控

注册表禁用和BitLocker解决的是“能不能拿走”，而域智盾解决的是“有没有在偷偷传、截、拖、粘”。它工作在应用层，能精准识别并阻断高风险动作。

第一步：从官网下载域智盾管理端与客户端安装包 → 在服务器或管理员电脑上安装管理端 → 创建策略组并分配终端账号。

第二步：在客户端安装时勾选【透明加密】+【U盘管控】+【剪贴板禁止】三项核心模块 → 安装完成后自动后台运行，无弹窗无提示。

第三步：登录管理端 → 进入【策略中心】→ 开启【禁止拖拽到桌面/下载目录】→ 同时启用【截图水印】功能，所有截图自动叠加员工工号与时间戳。

第四步：在【U盘管理】中设置白名单，仅允许编号为DZD-001至DZD-099的加密U盘接入 → 其他任何U盘插入后立即弹出提示“设备未授权，访问已被拒绝”，且系统日志实时记录该事件。