企业需通过组策略禁用可移动存储读写权限、限制剪贴板与拖拽操作、启用文件访问审计日志、部署透明加密软件四步实现终端数据防泄密，缺一不可。

防止员工或外来人员通过U盘、移动硬盘、网络共享等方式将公司核心数据拷贝出电脑，是企业终端安全管控的刚性需求。单纯靠口头提醒或IT监控截图无法阻止一次鼠标右键→“发送到→U盘”的操作，必须从系统底层建立不可绕过的防拷贝策略。

用组策略禁用所有可移动存储设备

第一步：按 Win + R 输入 gpedit.msc 回车，打开本地组策略编辑器。

第二步：依次展开左侧树形菜单：计算机配置 → 管理模板 → 系统 → 可移动存储访问。

第三步：在右侧找到并双击【所有可移动存储类：拒绝读取权限】→ 勾选“已启用”→ 点击“确定”。这一步会阻止任何程序（包括资源管理器、命令行、第三方工具）读取U盘、SD卡、移动硬盘中的文件。

第四步：继续在右侧找到【所有可移动存储类：拒绝写入权限】→ 同样设为“已启用”。【注意：这两项必须同时启用，否则仅禁写入时用户仍可复制出文件】

第五步：按 Win + R 输入 gpupdate /force 回车，强制刷新组策略。此时插入U盘，资源管理器中将不显示盘符，设备管理器里该设备状态显示“此设备被禁用”。

限制特定用户对剪贴板和拖拽操作的使用

方法一：禁用剪贴板历史与跨设备同步

进入设置 → 蓝牙和其他设备 → 剪贴板 → 关闭“剪贴板历史记录”和“跨设备同步”。这能阻断文字、图片通过Ctrl+C/V跨应用、跨设备流转。

方法二：通过注册表彻底关闭剪贴板服务（适用于Windows 10/11专业版及以上）

按 Win + R 输入 regedit → 定位到 HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System → 新建 DWORD（32位）值，命名为 AllowClipboardHistory，数值数据填 0 → 重启生效。此操作后 Ctrl+V 将无法粘贴任何内容，连纯文本都不行。

方法三：禁用文件拖拽导出（仅对Explorer有效）

在组策略编辑器中定位到：用户配置 → 管理模板 → Windows组件 → 文件资源管理器 → 禁用拖放 → 启用该策略。此后用户无法用鼠标左键拖动文件到U盘图标、邮件附件区或聊天窗口中。

启用高级审核策略记录所有外发行为

① 按 Win + R 输入 gpedit.msc → 展开：计算机配置 → Windows设置 → 安全设置 → 高级审核策略配置 → 系统审计策略 → 对象访问。

② 双击【文件系统】→ 勾选“成功”和“失败”→ 确定。

③ 右键点击你要保护的敏感文件夹 → 属性 → 安全 → 高级 → 启用继承 → 点击“添加”→ 选择主体为“Everyone”→ 在下方勾选“读取”“写入”“删除”等所有权限 → 勾选“审核此文件夹中的所有子文件夹和文件”→ 确定。

④ 打开事件查看器 → Windows日志 → 安全 → 筛选当前日志，事件ID为 4663 的条目即为文件被打开、复制、读取的完整记录，含操作者账号、时间、源进程（如explorer.exe、chrome.exe）、目标路径。

这一步不做，前面所有禁用策略都等于“黑箱操作”——你不知道谁绕过了什么方式拷走了什么。只有审计日志落库，才能形成闭环追责依据。

部署透明加密软件锁定文档生命周期

安装支持“强制透明加密”的企业级文档安全系统（如知识库中提到的数据安全保护系统），在客户端部署后自动对指定后缀文件（.docx/.xlsx/.pdf/.dwg等）实时加解密。

关键动作：在管理后台将研发部、财务部等高风险部门的电脑加入“强制加密策略组”，设置策略为“新建/修改/保存即加密”，且加密文件离开本机后在其他未授权电脑上双击提示“无权限打开”。

该方案不禁止U盘使用，但插入U盘复制走的只是密文——没有密钥和授权环境，文件内容不可读、不可打印、不可另存为、不可截图识别文字。即使员工把加密文件发到个人邮箱，收件人也打不开。

【重要前提：必须配合USB端口禁用策略一起启用，否则员工可能先解密再拷贝】