禁用USB存储设备、启用U盘写保护、开启BitLocker加密可三步堵住客户数据外泄漏洞：注册表禁用USBSTOR使U盘不识别；StorageDevicePolicies设WriteProtect=1实现只读；BitLocker加密磁盘防硬盘被盗泄露数据。

你想在办公电脑上立刻堵住客户数据被悄悄拷走的漏洞，不装第三方软件、不改BIOS、不依赖IT部门远程控制，只用Windows系统自带功能就能让U盘插上去不能复制、剪贴板粘不住、文件拖不动。

禁用USB存储设备（注册表法）

这一步让Windows彻底“失明”——U盘插入后资源管理器不显示盘符，设备管理器里连USB大容量存储设备的影子都找不到，连系统底层都拒绝识别。

按Win + R打开运行框，输入regedit → 回车打开注册表编辑器。

依次展开路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR。

在右侧找到名为Start的DWORD值，双击 → 将“数值数据”由默认的3改为【4】 → 点击确定。

关闭注册表编辑器，重启电脑。插入任意U盘验证：无弹窗、无盘符、设备管理器中“通用串行总线控制器”下无新增设备——说明已生效。注意：键盘鼠标等非存储类USB设备不受影响。

启用U盘写保护模式（即插即控）

适合需要保留U盘读取功能（比如看客户资料PDF）、但坚决不允许往里存或往外拖文件的场景。设置后拔插一次U盘就生效，不用重启。

方法一：手动创建注册表项

在注册表中定位到：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies。

若该路径不存在，右键Control → 新建 → 项 → 命名为StorageDevicePolicies。

选中StorageDevicePolicies → 右键 → 新建 → DWORD (32位)值 → 命名为WriteProtect。

双击WriteProtect → 将数值数据设为【1】 → 确定。

方法二：一键导入.reg文件（推荐给批量部署）

新建文本文档，粘贴以下内容：

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies]

"WriteProtect"=dword:00000001

保存为writeprotect_on.reg，双击运行即可。

【注意】该设置对所有U盘统一生效，包括你自己的工作盘；解除时只需把1改回0，或删掉WriteProtect项。

开启BitLocker加密（防硬盘丢失后数据裸奔）

即使电脑被偷、硬盘被拆下来挂到别的机器上，没有密码就只能看到乱码。这是Windows专业版/企业版原生功能，无需额外安装。

第一步：确认系统版本 → 右键“此电脑”→“属性”→ 查看“Windows规格”中是否含“专业版”或“企业版”。

第二步：右键要保护的磁盘（如D盘存客户资料）→ 选择“启用BitLocker”。

第三步：务必勾选“将恢复密钥保存到Microsoft账户”或“另存为文件” → 这是唯一救命稻草，漏掉等于永久锁死。

第四步：选择“新加密模式”和“XTS-AES 256位” → 点击“开始加密”。首次加密耗时取决于磁盘大小，可后台运行不影响办公。