U盘拷贝怎么限制？

企业电脑里最常见的资料流转场景之一，就是员工插入U盘后直接把文件复制出去。普通电脑只能识别U盘，并不会按照企业的数据安全规则判断哪些文件可以复制、哪些文件应该拦截。

现在的USB管理方案，可以从设备接入、读写权限、文件复制和操作审计几个层面进行控制。

设备控制能力也支持按设备、设备类型、用户组以及读写操作制定策略，并可以记录相关设备活动。

一、限制U盘接入

最直接的方式就是控制哪些U盘能够连接企业电脑。管理员可以设置默认禁止，再把经过授权的企业U盘加入允许名单。这样员工随便插入个人U盘时无法正常使用，需要使用移动存储时再申请授权。

这种方式适合研发、财务、人事等重要资料较多的电脑。微软设备控制也支持禁止全部可移动存储，再针对授权设备开放访问。

二、限制U盘写入

有些企业并不需要完全禁止U盘，而是希望“能看，不能拷”。

这时候可以设置只读权限。员工可以打开U盘里的资料，但不能把电脑里的文件写入U盘，也不能通过复制、拖拽等方式把文件带出去。企业也可以针对不同人员设置不同权限，例如普通员工只读，指定岗位允许读写。

三、限制指定文件复制

更细一点的管理方式，是不直接禁止整个U盘，而是限制敏感文件复制。

比如研发部门的CAD图纸、财务报表、客户名单可以设置重点保护，员工仍然可以正常使用普通办公文件，但尝试把受保护文件复制到U盘时进行拦截。部分USB管理和DLP方案还可以根据文件扩展名、文件名等条件限制文件传输。

四、记录U盘复制行为

企业做USB管控不能只设置“允许”或“禁止”，还需要留下记录。

管理员可以关注什么时候插入U盘、哪台电脑使用、哪个员工操作，以及有没有发生文件复制。对于重要资料，还可以进一步记录复制的文件信息。微软Endpoint DLP支持对受保护文件复制到USB的行为进行阻止、警告或审计，并可以保留文件证据。

信企卫在U盘管理上，可以把USB设备控制和文件防泄密结合起来。管理员可以对U盘、移动硬盘等外设进行权限管理，对指定电脑设置禁止使用、只读或允许读写等策略；涉及重要文件时，还可以结合文件透明加密、文件操作记录和外发管理，减少员工通过移动存储设备带走资料的情况。