必须从系统底层、软件策略和用户行为三层面同步设防：禁用usb存储（注册表改start值为4）、启用bitlocker全盘加密、部署域智盾实现细粒度防拷贝（禁复制/拖拽/剪贴板）、组策略批量禁用移动存储、关闭剪贴板历史与拖拽功能。
办公电脑需要防止项目数据被随意拷贝到U盘、网盘或通过剪贴板外泄，必须绕过表面权限设置，直击系统底层与应用层联动漏洞——仅设文件只读权限毫无意义，Ctrl+C仍可复制文本；仅禁用USB会漏掉微信文件传输、浏览器拖拽上传等高频泄密路径。
禁用USB存储设备（注册表法）
按Win + R打开运行框→ 输入regedit→ 回车进入注册表编辑器。
依次展开路径：【HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR】。
在右侧双击Start项→ 将“数值数据”由默认的3改为4→ 点击确定。
关闭注册表编辑器，重启电脑。插入U盘后资源管理器无盘符、设备管理器中“磁盘驱动器”下无设备显示，即生效。⚠️修改前务必右键导出该键值备份，误设为0或1可能导致系统无法启动。
启用BitLocker全盘加密（防硬盘拆机读取）
右键点击系统盘（通常是C:）→ 选择“启用BitLocker”→ 按向导操作。
务必勾选“将恢复密钥保存到Microsoft账户”或“另存为文件”，否则密码遗忘=数据永久丢失。
选择“加密整个驱动器”→ 加密模式选“新加密模式”，加密方法选“XTS-AES 256位”→ 点击“开始加密”。
首次加密耗时较长，建议连接电源并保持电脑不休眠——中途断电可能导致加密中断且不可逆。
部署域智盾实现细粒度防拷贝
① 下载安装域智盾客户端，使用管理员账号登录控制台。
② 创建加密策略：勾选项目常用格式（.xlsx、.pptx、.pdf、.psd、.dwg），启用“禁止复制文本”“禁止拖拽至浏览器/桌面/U盘”“禁止剪贴板粘贴到外部程序”。
③ 配置USB白名单：仅允许已登记序列号的公司加密U盘读写，其余U盘插入即拦截并记录日志。
④ 启用动态水印与截屏阻断：对打开受保护文档的窗口自动叠加含员工姓名+时间的浮动水印，并禁用Snipping Tool、QQ截图、微信截图等全部本地截图工具。
⑤ 提交策略并推送到终端——策略生效后，员工编辑文档完全正常，但Ctrl+C/V、另存为、拖入邮件附件框、上传至钉钉/飞书等动作全部静默失败。
关闭剪贴板历史与拖拽功能（Windows原生补漏）
方法一：关闭剪贴板历史
设置 → 蓝牙和其他设备 → 剪贴板 → 关闭“剪贴板历史记录”和“跨设备同步”。
方法二：禁用资源管理器拖拽
Win + R → 输入gpedit.msc → 导航至“用户配置 → 管理模板 → Windows组件 → 文件资源管理器”→ 启用“防止将文件拖放到桌面或文件夹中”。
这一步能堵住大量手动拖拽外发行为，尤其对习惯把项目报表直接拖进微信对话框的员工立竿见影。
