一、准入管控：白名单机制，隔离外来私人 U 盘

1. 建立 U 盘授信白名单，只有管理员后台登记、绑定硬件序列号（VID/PID+SN）的工作 U 盘，才允许接入内网终端；私人 U 盘、外来 U 盘直接拦截，禁止读写。

2. 统一配发企业工作 U 盘，编号、登记责任人、所属部门 / 项目；一人一盘或者项目专用盘，禁止转借。

3. 分级授信：区分普通业务 U 盘、高敏感项目 U 盘，不同项目 U 盘密钥隔离，A 项目文件拷贝到项目 U 盘后，拿到 B 项目电脑无法打开。

安秉网盾实现：后台注册介质，未授信 U 盘直接阻断，支持介质分类、密钥隔离。

 二、介质加密：写入 U 盘自动加密，丢盘不泄密

所有授信 U 盘开启自动透明加密策略：文件保存 / 拷贝进 U 盘，自动加密；

- 只能在装有客户端、授信内网电脑正常打开；

- U 盘丢失、被私自拿到外网电脑，里面文件是密文，无法读取；

 区别 BitLocker：BitLocker 解开后明文随便复制，适合防丢失，做不到权限管控。

 三、权限分级配置

根据岗位、文件密级设置不同 U 盘权限，而不是全部放开读写：

1. 高敏感岗位（图纸、源码、核心方案）：U 盘只读模式

允许打开查看 U 盘内文件，禁止把文件拷贝到电脑本地、禁止另存、拖拽导出；同时管控剪贴板，不允许复制内容。

2. 普通业务岗位：双向读写受控模式

可以互相拷贝文件到 U 盘，但文件全程加密；批量拷贝敏感后缀（dwg、sldprt、源码后缀）、大文件自动告警。

3. 临时导出场景：审批放行模式

员工确实需要把文件导出到 U 盘带走，走线上审批，审批通过后系统临时放开导出权限，设置时效（比如 2 小时），超时自动恢复管控。

4. 通用限制：禁止 U 盘内文件打包压缩、禁止通过 U 盘引导启动、禁止 U 盘自动运行。

 四、传输边界管控，减少横向扩散

1. 严禁内网 U 盘在外网电脑插拔，制度上禁止公私混用；一旦检测到该 U 盘在外部终端接入，后台标记异常，可直接注销授信。

2. 优先引导重要数据走 OA、PLM、PDM 等受控系统流转，U 盘仅作为临时辅助通道，不作为常规数据传递方式。

3. 可以配置策略：禁止多个终端之间频繁交叉拷贝，短时间大量导出文件触发告警。

 五、审计、水印、告警，实现可追溯

1. 完整日志：U 盘插拔、写入、读取、删除、拷贝、打开文件，记录操作人员、终端 IP、时间、文件名，日志长期留存，满足保密追溯。

2. 叠加动态屏幕水印：打开 U 盘内敏感文件时，水印包含账号、时间、终端信息，应对拍照、录屏泄密。

3. 异常告警：陌生 U 盘接入、批量导出、高密级文件拷贝、U 盘跨地点异常使用，实时推送管理员。

 六、管理配套制度

1. 工作 U 盘专人保管，不得转借、私用、带回家；涉密项目 U 盘单独管理。

2. 员工离职、岗位变动，U 盘统一回收，后台注销介质授信，即使 U 盘还在，密文文件失效。

3. 定期开展 U 盘保密培训，明确违规拷贝的追责要求。

4. 定期审计 U 盘使用日志，抽查异常拷贝行为。

安秉网盾   https://www.anbingsoft.com