必须从usb管控、软件外发拦截、外发审批、透明加密、系统功能关闭五层面设防：禁用usb端口并设白名单、拦截微信/qq/邮件等外发行为、强制含敏感词文件外发需多级审批并加水印、对核心文件类型启用透明加密、组策略禁用移动存储及关闭云盘同步。
要让电脑里的客户名单、财务报表、设计图纸等敏感文件无法被随意拷贝外发，必须从源头阻断U盘复制、邮件附件、微信发送、浏览器上传等常见外发路径，而不是仅靠员工自觉或口头提醒。
禁用USB设备物理拷贝通道
第一步：打开域智盾或中科安企软件的【设备管控】模块→点击“USB端口管理”→选择“全部禁用”模式。
这一步直接切断最原始的拷贝方式。很多企业只做软件层限制，却忽略U盘一插就能拖走G级资料的事实——【一旦USB端口未禁用，所有上层管控都形同虚设】。
第二步：在白名单中添加已备案的加密U盘序列号，仅允许该设备读写。
第三步：勾选“禁止手机通过USB调试模式连接”，防止安卓手机伪装成MTP设备绕过识别。
拦截主流软件外发行为
方法一：在洞察眼MIT系统中进入【程序外发控制】→启用“微信文件传输助手”“QQ发送文件”“钉钉外部联系人”三项拦截开关。
方法二：对Outlook、Foxmail等邮件客户端，单独开启“附件发送禁止”并同步关闭“网页邮箱自动登录”权限。
注意：部分员工会把微信重命名为“wecat.exe”或“notepad.exe”来绕过进程名识别，此时需开启软件的“哈希值校验”功能，否则拦截无效。
强制外发文件走审批流程
① 在Ping64平台的【外发管控】中新建策略，设置触发条件为“任意含‘合同’‘报价’‘源码’字样的文件被选中发送”。
② 配置审批链：申请人→部门主管→信息安全员→最终由管理员解密授权，缺一不可。
③ 开启外发包水印：自动叠加员工姓名、工号、时间戳及IP地址，水印不可删除且覆盖全文档区域。
④ 设置外发文件有效期：PDF类设为7天，CAD类设为24小时，超时后双击即提示“授权已过期”。
加密核心文件防离线泄露
启用透明加密模式，将研发部的“.sln”、财务部的“.xlsx”、法务部的“.docx”加入强制加密列表。
加密后的文件在公司内网可正常双击打开，但一旦复制到U盘或发给外部邮箱，对方打开只会显示乱码或空白页——【不依赖接收方安装任何软件，解密权100%掌握在管理员手中】。
这一步不做，前面所有拦截都只是延缓泄露时间，而非真正阻止。
关闭高危系统自带功能
在Windows组策略编辑器中定位到“计算机配置→管理模板→系统→可移动存储访问”，将“所有可移动存储类：拒绝读取权限”和“拒绝写入权限”均设为“已启用”。
手动关闭OneDrive、iCloud、百度网盘的自动同步入口，卸载非IT部门报备的云盘客户端。
禁用Chrome、Edge浏览器的“下载管理器”扩展接口，防止通过网页表单提交方式批量导出数据。
