一家深圳智能硬件出口厂，去年排查了全厂 80 多台电脑，发现 23 台插过私人U盘，其中 7 台拷走过图纸和报价。
老板想全禁USB，可财务要传报表、产线要刷程序、商务要拷样品，一刀切全禁，活也停了。
安企神给这家厂配的方案，不是堵死，而是分人、分盘、分场景，让该走的走、该拦的拦。
一、USB口不止是U盘
1. 手机光驱蓝牙都算外接
USB口连的不止U盘，手机这类便携设备、光驱、蓝牙、无线网卡、串口都能传文件或联外网。
其他外设管控可一键禁用，确有需要的能发申请再开，既堵住旁路又不误事。
外贸工厂的产线电脑若任由蓝牙联手机，图纸分分钟就出去了。无线网卡被禁后，电脑连不上外网WiFi，数据想飞也飞不出去。
二、四档权限把口子分清楚
1. U盘管控：禁用只读只写允许
U盘管控给出四档：禁用、只读、只写、允许。只读时U盘文件能进电脑、电脑文件出不去；只写反过来，电脑文件能存进U盘、U盘里的拿不出来。
配合U盘使用记录，插拔和拷贝动作后台都留着。
允许档也只对公盘开放，私人盘依旧只读，灵活不等于放开。只读档适合商务给客户看样册，只写档适合收外部供应商资料，分清楚就少踩坑。
2. U盘黑白名单：指定盘才放行
U盘黑白名单给指定U盘开放权限，公司的盘能用在授信电脑上，私人U盘一律拦下。
白名单之外想用，得走申请，乱插的口子先堵死。
盘丢了也不怕，非授信电脑上打不开。外贸工厂员工流动性大，换岗人员权限随岗调整，人走了盘权限同步收。
三、密钥和分区把风险收口
1. U盘加密与明区暗区
U盘加密让盘里文档透明加密，公司内部自动解密、带出去打开是乱码。
明区和暗区把盘一分为二，机密文件放暗区，暗区只能在公司授信电脑上看，别的电脑根本看不见。
员工带盘回家加班，暗区资料也带不走。外贸工厂加班多，暗区文件即便被拷走，落到别的机器上连影子都见不到。
2. 使用记录与违规报警
U盘使用记录记着每一次插拔、每一笔拷贝，哪台电脑、哪个盘、什么文件都查得到。
违规USB设备报警在插上非授信盘时立刻提醒，管理员当场就能处置。
两道留痕叠在权限之上，谁能插、拷了什么、何时动的，一笔笔都对得上。报警和记录双保险，事前吓住、事后查实，两步都不空。
USB口不是不能禁，是要禁得准、管得住。
权限、名单、加密三层落下去，谁能插、能拷什么清清楚楚，违规的动作还留着痕。
老板要的从来不是一个死掉的接口，而是一张看得明白的账。
责编：小赵
