禁用USB存储设备、启用U盘写保护、开启BitLocker加密三步可堵住机密数据外泄漏洞：注册表改USBSTOR的Start为4彻底禁用U盘；新建StorageDevicePolicies并设WriteProtect为1实现只读；专业版及以上系统启用BitLocker并备份恢复密钥。
你想在单位电脑上立刻堵住机密数据被拷走的漏洞，不让员工用U盘拖文件、不许复制粘贴到微信QQ、禁止截图外发，所有操作都基于Windows系统自带功能或轻量级部署，不依赖网络后台、不装复杂客户端、不改BIOS。
禁用USB存储设备（注册表法）
这一步直接让Windows“看不见”U盘、移动硬盘这类设备，插入后资源管理器不显示盘符，设备管理器里也找不到对应条目——彻底切断物理拷贝通道。
按Win + R打开运行框，输入regedit→ 回车打开注册表编辑器。
依次展开路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR。
在右侧找到名为Start的DWORD值，双击→将“数值数据”由原来的3改为【4】→ 点击确定。
关闭注册表编辑器，重启电脑。插入U盘验证：无任何提示、无盘符出现、设备管理器中“通用串行总线控制器”下也不显示USB存储设备——说明已生效。
启用U盘写保护模式（插拔即生效）
适合需要保留键盘鼠标等USB外设、又必须堵死“拷出”漏洞的办公场景。U盘能识别、能读取你的文件，但无法把文档拖进去、也不能Ctrl+C/V粘贴过去。
方法一：手动新建策略路径
在注册表中定位到：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies。
若该路径不存在，右键Control→ 新建 → 项 → 命名为StorageDevicePolicies。
选中刚建的StorageDevicePolicies→ 右键 → 新建 → DWORD (32位)值 → 命名为WriteProtect。
双击WriteProtect→ 将数值数据设为【1】→ 确定。无需重启，拔插U盘即可生效。
【注意】该设置对所有U盘统一生效，包括你自己的工作盘；解除时只需把1改回0。
开启BitLocker加密（防硬盘被拆走读取）
即使电脑被拿走、硬盘被拆下来接到别的机器上，没有密码或恢复密钥，里面全是乱码——这是最后一道防线。
第一步：确认系统版本
右键“此电脑”→ 属性 → 查看Windows版本。只有【专业版、企业版或教育版】才内置BitLocker功能，家庭版不可用。
第二步：启用加密
右键要保护的磁盘（如D盘存研发资料）→ 选择“启用BitLocker” → 按向导操作。
第三步：关键备份动作
务必勾选“将恢复密钥保存到Microsoft账户”或“另存为文件”，否则一旦忘记密码，数据将永久无法访问。
第四步：启动加密
选择“新加密模式”和“XTS-AES 256位”加密强度 → 点击“开始加密”。首次加密耗时较长，建议连接电源、保持电脑唤醒状态。
