群組原則封鎖 USB 儲存裝置：保護機密資料不外洩的企業級做法

電腦存有機密文件、客戶名單、財務報表，最擔心離位時被插入 USB 隨身碟竊取資料。Windows 專業版/企業版內建的群組原則，能精準封鎖「大量儲存裝置」同時保留滑鼠、鍵盤、印表機等 HID 裝置。本文提供完整圖文步驟，並補充登錄檔與 BIOS 雙重防護方案。

方法一：群組原則封鎖 USB 大量儲存裝置（推薦，可精準控制）

1. 按 Win+R 輸入 gpedit.msc 開啟「本機群組原則編輯器」。
2. 依序展開：
   電腦設定 → 系統管理範本 → 系統 → 裝置安裝 → 裝置安裝限制
3. 雙擊 「防止安裝未由其他原則設定描述的裝置」 → 選 「已啟用」 → 確定。
4. （選擇性）同目錄下啟用 「防止安裝可移動裝置」 並設為「已啟用」，雙重保險。
5. 以系統管理員身分開啟命令提示字元執行 gpupdate /force 強制重新整理原則，或重新開機。

效果：插入 USB 隨身碟/外接硬碟會提示「裝置驅動程式未成功安裝」，裝置管理員顯示黃色驚嘆號，無法在檔案總管存取。

方法二：登錄檔快速部署（適用 Home 版或大量佈署）

將以下內容存為 block_usb_storage.reg，雙擊匯入並重開機：

Windows Registry Editor Version 5.00

; 封鎖 USB 大量儲存裝置
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR]
"Start"=dword:00000004

; 選擇性：封鎖所有 USB 裝置（含滑鼠鍵盤，慎用！）
; [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBHUB3]
; "Start"=dword:00000004

恢復只需將 Start 改為 3（手動）或 0（系統啟動）。

方法三：BIOS/UEFI 層級封鎖（物理層防護，繞過作業系統）

1. 開機連點 Del/F2/F10 進入 BIOS/UEFI 設定。
2. 尋找 Security、Advanced 或 Peripherals 分頁下的 USB Controller、USB Ports、External USB Ports 選項。
3. 設為 Disabled 或 Read Only（部分廠商支援唯讀模式）。
4. 儲存離開（F10 → Yes）。

注意：此法會同時禁用 USB 鍵盤/滑鼠，需保留 PS/2 埠或提前規劃替代輸入裝置。

白名單例外：允許特定授權 USB 裝置

群組原則路徑：電腦設定 → 系統管理範本 → 系統 → 裝置安裝 → 裝置安裝限制 → 「允許安裝符合這些裝置安裝類別的裝置」。
輸入裝置類別 GUID（如 {53f56307-b6bf-11d0-94f2-00a0c91efb8b} 為 USB 大量儲存），或用 DevCon / PNPUTIL 配合硬體 ID 白名單機制，僅允許公司採購的加密隨身碟。

驗證與維運建議

• 封鎖後以普通使用者身分登入測試，確認無法讀寫 USB 儲存裝置。
• 保留至少一組 USB 埠給滑鼠/鍵盤/授權裝置，避免鎖死自身。
• 配合 BitLocker 加密系統碟 + 資料碟，雙重防護實體竊取與離線破解。
• 定期稽核事件檢視器 系統 日誌來源 DriverFrameworks-UserMode、USBSTOR 事件 ID 2003/2006，偵測嘗試插入記錄。

企業資安不只靠單一手段，群組原則 + 登錄檔 + BIOS 三層防護，配合加密與稽核，才能在法規遵循（GDPR、個資法）與實務操作間取得平衡。