必须通过ntfs权限、bitlocker加密、域智盾策略和组策略四重管控：ntfs禁未授权访问，bitlocker防硬盘离线窃取，域智盾阻复制拖拽截图，组策略禁剪贴板历史，缺一不可。
要让公司电脑里的财务报表、客户名单、设计图纸等敏感文件，只允许指定人员打开查看，禁止复制粘贴、拖拽另存、截图上传，必须通过Windows系统原生权限体系与专业加密软件双轨管控，绕过其中任一环节都可能留下泄密缺口。
设置文件夹NTFS权限（系统级访问控制）
右键目标文件夹→ 选择“属性”→ 切换到“安全”选项卡→ 点击“编辑”→ 选中需限制的用户或用户组（如“Everyone”）→ 在下方权限列表中，取消勾选“读取和执行”“列出文件夹内容”“读取”三项→ 点击“确定”。
这一步直接切断未授权用户对文件夹的任何访问路径，连双击打开都会提示“拒绝访问”。【注意】操作前务必确认该用户已登录过本机并存在于本地用户列表中，否则策略不生效；若使用域账户，请确保域控制器时间同步，否则Kerberos认证失败会导致权限失效。
对核心文档子目录，额外取消“写入”和“修改”权限，仅保留“读取”——这样员工能打开看，但无法保存修改、不能另存为副本、也无法拖出文件。
启用BitLocker加密（防硬盘离线窃取）
右键系统盘（C:）或数据盘（D:）→ 选择“启用BitLocker”→ 按向导设置4位以上密码→ 勾选“将恢复密钥保存到Microsoft账户”→ 选择“加密整个驱动器”→ 点击“开始加密”。
首次加密耗时较长，建议连接电源并保持电脑唤醒。加密完成后，即使硬盘被拆下装到其他电脑上，没有密码就只能看到乱码分区，连磁盘管理器都识别为“未分配空间”。
这一步不是防拷贝动作本身，而是堵死“物理盗取硬盘→挂载读取”这条最高危泄密链路。没有它，NTFS权限在离线环境下形同虚设。
部署域智盾文档权限策略（应用层行为拦截）
方法一：禁止复制与拖拽
安装域智盾客户端后，进入控制台→ 点击“文档加密”→ 添加需保护的文件类型（.xlsx、.pdf、.dwg等）→ 在策略页勾选“禁止复制文本”“禁止拖拽至桌面/U盘/浏览器”→ 提交并推送至终端。
方法二：细粒度外发阻断
在“外发管控”模块中，逐个勾选微信、钉钉、QQ、Chrome、Edge等程序→ 设置“禁止发送加密文档”→ 启用“截屏阻断”，自动禁用Snipping Tool、微信截图、QQ截图等全部本地截图工具。
方法三：动态水印与审计追踪
开启“屏幕水印”功能，自动在受保护文档窗口叠加含员工姓名、工号、时间戳的半透明水印；所有复制失败、截屏触发、U盘插入尝试均实时记录日志，管理员可在后台按时间、用户、文件名一键检索。
这三类策略同时启用后，员工打开Excel表格时仍可正常编辑，但Ctrl+C无响应、鼠标拖文件到U盘图标上会弹出红色拦截提示、用微信截图时界面直接灰显——所有高发泄密动作被静默阻断。
配置组策略禁用剪贴板历史（切断跨应用粘贴）
第一步：按Win + R输入gpedit.msc→ 回车打开组策略编辑器；
第二步：导航至“计算机配置 → 管理模板 → 系统 → 剪贴板”；
第三步：双击“允许剪贴板历史记录”→ 选择“已禁用”→ 点击“确定”；
第四步：双击“允许同步剪贴板”→ 同样设为“已禁用”；
第五步：命令提示符中执行gpupdate /force刷新策略。
禁用后，Win+V快捷键失效，系统不再缓存最近复制的文本或图片，彻底消除“先在Word里复制一段合同条款→切到微信聊天框粘贴发送”这类跨软件泄密路径。该策略对所有用户统一生效，无需重启即可验证。
