必须在系统权限、usb设备控制和文档级加密三层面设防：设置ntfs文件夹安全权限禁非授权账户修改；注册表禁用usbstor服务阻u盘识别；部署域智盾实现工程文件透明加密、usb白名单、截屏阻断与水印、外发行为管控。
要防止电脑里的工程图纸、BOM表、工艺文件等被随意拷贝带走，必须在系统权限、USB设备控制和文档级加密三个层面同时设防，缺一环就可能被绕过。
设置文件夹访问权限（基础隔离）
右键点击存放工程数据的文件夹→ 选择“属性”→ 切换到“安全”选项卡。
点击“编辑”→ 在“组或用户名”列表中，选中非授权账户（如Guest、其他员工账户）→ 在下方权限框中，将“写入”“修改”“获取所有权”“删除子文件夹及文件”全部取消勾选→ 点击“确定”。
【注意】此操作仅对NTFS格式磁盘生效；若该磁盘是FAT32格式，需先转换为NTFS（使用命令convert D: /fs:ntfs），否则权限设置无效。
禁用USB存储设备（注册表法）
按Win + R打开运行框，输入regedit → 回车进入注册表编辑器。
导航至HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR。
双击右侧的Start项，把数值数据从3改为4 → 点击确定。
关闭注册表编辑器，重启电脑。插入U盘后，资源管理器不显示盘符，设备管理器中也不出现USB大容量存储设备，即表示已生效。
部署域智盾实现工程文件透明加密
方法一：安装域智盾客户端后，登录管理员控制台→ 进入“策略管理”→ 新建加密策略→ 勾选.dwg、.dxf、.sldprt、.stp、.x_t、.pdf、.xlsx等工程常用格式→ 开启“文档透明加密”和“禁止复制到剪贴板”。
方法二：在同一页策略中，启用“USB设备白名单”→ 点击“添加设备”，插入公司配发的加密U盘→ 自动读取并登记其硬件序列号→ 其他未登记U盘插入后无反应，且后台记录拦截日志。
方法三：勾选“截屏阻断”+“动态水印”→ 对打开CAD、SolidWorks、Excel工程文件的窗口自动叠加含工号、时间、IP的浮动水印→ 同时禁用Snip & Sketch、微信截图、QQ截图等全部本地截图工具。
提交策略并推送到目标终端。策略生效后，工程师打开图纸仍可正常编辑、测量、出图，但Ctrl+C复制文字、拖拽文件到微信窗口、另存为新路径等动作全部被实时拦截。
限制特定软件外发行为
第一步：在域智盾控制台→ 进入“程序管控”模块→ 找到微信、QQ、钉钉、Outlook、浏览器进程名（如WeChat.exe、QQ.exe、msedge.exe）。
第二步：对每个程序启用“禁止文件外发”→ 设置生效范围为“所有受保护文档类型”→ 并勾选“禁止粘贴文件路径”“禁止拖入附件框”。
第三步：保存并下发策略。此后，即使用户手动复制文件路径粘贴进微信对话框，或把Excel表格拖进Outlook新建邮件附件区，系统都会弹出红色拦截提示，并记录操作人与时间戳。
