禁用usb存储设备最常用且见效快的方法是本地组策略编辑器：按win+r输入gpedit.msc，依次展开“计算机配置→管理模板→系统→可移动存储访问”，启用“所有可移动存储类：拒绝所有访问”，重启电脑后生效；注册表修改（将usbstor下start值改为4）更底层但需谨慎备份；同时须封堵剪贴板同步、设u盘只读、锁定敏感文件夹权限并确保员工账户非管理员身份。
公司电脑需要防止员工用U盘、移动硬盘或剪贴板批量拷走客户名单、财务报表、源代码等核心数据，仅靠口头提醒或制度约束已无法应对实际风险。
禁用USB存储设备（最常用且见效快）
方法一：通过本地组策略编辑器（适用于Windows专业版/企业版/教育版）
按下 Win+R，输入 gpedit.msc → 回车打开本地组策略编辑器 → 依次展开“计算机配置”→“管理模板”→“系统”→“可移动存储访问”。
双击右侧“所有可移动存储类：拒绝所有访问”，勾选“已启用”→点击“确定”。
【必须重启电脑才生效】，否则策略处于挂起状态，U盘仍可读写。
方法二：修改注册表（兼容所有Windows版本，但操作不可逆）
按下 Win+R，输入 regedit → 回车进入注册表编辑器。
导航至：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR。
找到右侧名为 Start 的 DWORD 值，双击 → 将“数值数据”由默认的 3 改为 4 → 点击“确定”。
这一步直接切断系统加载USB存储驱动的能力，比组策略更底层、更难绕过；但若误改其他键值，可能导致USB键盘鼠标也无法使用，务必先备份该分支。
阻断剪贴板跨设备传输（防复制粘贴泄密）
很多员工不插U盘，而是用远程桌面或ToDesk把文件复制进剪贴板，再粘贴到本地电脑。必须同步封堵这条通道。
以ToDesk为例：启动客户端 → 点击右上角齿轮图标进入设置 → 切换到“隐私设置”选项卡 → 取消勾选“剪贴板同步”。
若已部署企业版ToDesk，需进入“安全策略”模块 → 找到“允许剪贴板内容同步” → 设置为“禁止” → 输入管理员密码确认。
【此策略优先级高于主界面开关，一旦启用，用户无法自行开启】。
限制磁盘写入权限（让U盘只能看不能存）
有些岗位需临时读取外部资料（如供应商提供的PDF样本），但严禁反向导出。此时应设为只读而非完全禁用。
回到组策略编辑器（gpedit.msc）→ 同样路径：“计算机配置”→“管理模板”→“系统”→“可移动存储访问”。
双击“可移动磁盘：拒绝写入权限”→ 启用 → 确定。
这样插入U盘后仍能打开文件、截图、打印，但任何“另存为”“复制到U盘”“拖入文件”操作都会被系统拦截并弹出拒绝提示。
注意：该策略对手机MTP模式、SD卡读卡器同样生效，但不影响蓝牙文件传输——如需全面覆盖，需叠加网络层DLP策略。
锁定敏感文件夹访问（按人按岗精细控制）
第一步：右键点击存放客户数据库的文件夹 → “属性”→“安全”选项卡→点击“编辑”。
第二步：选中“Users”组 → 在下方权限列表中，取消勾选“写入”和“修改”，仅保留“读取和执行”“列出文件夹内容”“读取”。
第三步：勾选“替换子容器和对象的所有者”→点击“确定”。
这一步会递归应用到所有子文件夹与文件，普通员工登录后能看到目录结构、能打开Excel查看，但无法另存、无法复制、无法拖拽导出。
若员工属于Administrators组，该限制会被绕过——所以必须确保其账户不在管理员组内，【这是前提，否则所有权限设置形同虚设】。
