bitlocker是windows专业版及以上系统内置的全盘加密功能，使用aes算法加密整个磁盘分区，需tpm 2.0和uefi安全启动支持，启用后硬盘被拆下也无法读取数据。
防止公司核心文档、设计稿、客户名单等资料被员工私自拷贝外传，必须在电脑系统层面部署可执行的防拷贝机制，而不是仅靠口头提醒或制度约束。
启用Windows内置BitLocker全盘加密
这一步是基础防线，确保硬盘被拆下后无法在其他电脑上读取数据。右键点击系统盘（通常是C:）→ 选择“启用BitLocker”→ 勾选“使用密码解锁驱动器”并设置强密码→ 点击“下一步”→ 选择“将恢复密钥保存到Microsoft账户”（务必确认已登录且网络畅通）→ 最后点击“开始加密”。【加密过程不可中断，需保持电脑通电运行数小时，中途关机将导致加密失败并可能损坏文件系统】
加密完成后，任何未输入密码的启动行为都会卡在BitLocker解锁界面，U盘、移动硬盘接入后也无法自动读取该电脑上的原始文件内容。
禁用USB存储设备（组策略法）
方法一：按 Win+R 输入 gpedit.msc → 依次展开“计算机配置”→“管理模板”→“系统”→“可移动存储访问”→ 双击“所有可移动存储类：拒绝读取权限”→ 勾选“已启用”→ 点击“确定”。
方法二：在同一路径下，双击“所有可移动存储类：拒绝写入权限”→ 同样勾选“已启用”。
这两项启用后，U盘插入即显示“拒绝访问”，连图标都无法正常加载。注意：此策略对管理员账户同样生效，如IT人员需临时调试，须先禁用策略再操作。
部署域智盾软件实现细粒度管控
第一步：从官网下载域智盾客户端安装包，以管理员身份运行setup.exe → 全程默认选项安装 → 安装完成后自动弹出登录窗口。
第二步：输入企业分配的管理账号和密码 → 登录成功后，主界面显示“终端在线”，此时软件已接管本地文件操作行为。
第三步：进入“策略中心”→ 点击“透明加密”→ 开启开关 → 在“加密范围”中勾选.docx、.xlsx、.pdf、.psd等业务常用格式 → 点击“下发策略”。【策略下发后，所有新创建或修改的指定格式文件将自动加密，但已存在的未加密文件不会 retroactively 加密，需手动触发“全盘扫描加密”】
第四步：返回策略中心 → 进入“U盘管理”→ 开启“U盘禁用”→ 同时勾选“白名单模式”→ 点击“添加设备”，插入授权U盘后自动读取其硬件ID并注册 → 保存设置。
至此，非白名单U盘插入即无反应；白名单U盘仅能读取，无法写入加密文件；所有加密文件外发至微信、QQ、邮件附件后，在外部电脑打开均为乱码。
关闭剪贴板与拖拽导出通道
在域智盾控制台中，进入“终端管控”→ 找到“剪贴板控制”模块 → 将“禁止复制加密文件内容到剪贴板”设为开启状态。
接着勾选“禁止拖拽加密文件到桌面/文件夹/U盘”选项。这一步能封堵员工最常使用的两种快速导出方式——Ctrl+C/V 和鼠标直接拖拽到U盘图标上。
测试方法：新建一个加密的Word文档，尝试复制其中一段文字粘贴到记事本——会提示“操作被策略阻止”；再尝试将该文档拖到U盘图标上——鼠标指针变成红色禁止符号，松手后无任何反应。
