必须采用加密策略、外设拦截与行为审计三位一体管控：启用BitLocker全盘加密并绑定TPM芯片；禁用USB存储驱动（注册表修改start值为4）；部署域智盾拦截剪贴板与拖拽；配置洞察眼MIT系统审计U盘操作。
要让核心文档在员工电脑上“看得见、改得了、但带不走”，必须突破系统自带权限的粗放限制，进入加密策略、外设拦截与行为审计三位一体的管控层级。
启用BitLocker全盘加密并配置TPM绑定
右键“此电脑”→“管理”→“设备管理器”→展开“安全设备”，确认“受信任的平台模块（TPM）”状态为“正在运行”。若无TPM芯片或版本低于2.0，此方案不可用。
右键C盘→“启用BitLocker”→勾选“使用TPM保护启动密钥”→设置密码并保存恢复密钥到企业Azure AD或本地文件（【必须保存，丢失即永久锁死硬盘】）→选择“仅加密已用空间”→点击“开始加密”。
这一步完成后，即使拔下硬盘装入其他电脑，没有TPM芯片+正确密码+恢复密钥三者齐备，数据完全无法读取。普通用户重启后无感知，但U盘拷贝出来的只是加密卷镜像，毫无意义。
禁用USB存储驱动（注册表级硬封锁）
方法一：彻底封杀所有USB存储设备
按Win+R→输入regedit→定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR→双击右侧start→将数值数据从3改为【4】→重启生效。
修改后插入U盘、移动硬盘、读卡器均不会识别，设备管理器中也不显示“通用串行总线控制器”下的存储类设备。注意：键盘、鼠标、打印机等HID设备不受影响。
方法二：保留白名单设备（需配合硬件指纹）
不修改USBSTOR，转而新建项HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies\Explorer→新建DWORD值“NoDrives”→数值设为4（禁用D盘）或16（禁用E盘）等，仅对特定盘符隐藏——但此法可被绕过，仅作辅助。
部署域智盾实现剪贴板与拖拽实时拦截
第一步：管理员后台创建“研发部加密策略”→勾选“Office/PDF/源代码文件自动加密”→启用“禁止复制到剪贴板”→开启“禁止拖拽至桌面/U盘/浏览器上传框”。
第二步：在客户端安装域智盾Agent→首次启动时自动注入Windows Shell与Office进程→所有打开的Word、Excel、Visio窗口右下角出现绿色盾牌图标。
第三步：测试验证——选中加密文档内一段文字按Ctrl+C，再切换到记事本按Ctrl+V，粘贴内容为空白；尝试将加密PDF文件拖入U盘图标，系统弹出“操作被安全策略阻止”提示。
这一步的关键在于透明性：员工日常编辑无卡顿，但任何试图导出的行为都在内核层被截断。未授权设备插入时，连盘符都不会生成，比单纯隐藏更彻底。
配置洞察眼MIT系统进行U盘操作全审计
登录MIT控制台→进入“USB设备管理”→启用“USB插拔实时记录”→勾选“记录设备序列号、厂商ID、插入时间、拔出时间、文件操作事件”。
添加一条规则：“当检测到SanDisk Cruzer Blade（序列号前缀SDCB）插入时，自动触发屏幕录像10秒，并向管理员推送企业微信告警”。
这一步不做拦截，只做留痕。它不阻止行为本身，但让每一次U盘接触都变成可追溯的动作。对于需要合规审计的金融、政务单位，这条日志能直接对应《网络安全法》第二十一条关于“留存网络日志不少于六个月”的要求。
