硬碟資料隱私保護四層防線：群組原則、登錄隱藏、磁碟管理移除代號、專業加密軟體

資料隱私保護需分層防禦：阻擋好奇、防範竊取、抵禦離線攻擊、應對物理遺失。本文提供四層遞進方案，從 Windows 內建免費功能到軍規級加密軟體，滿足不同威脅模型需求。

第一層：群組原則阻擋存取 (防誤觸/一般使用者)

gpedit.msc → 使用者設定 → 系統管理範本 → Windows 元件 → 檔案總管 → 「防止從『我的電腦』存取磁碟機」 → 已啟用 → 選擇限制磁碟機。
優點：免費、即時生效、阻擋檔案總管/執行/CMD/PowerShell/捷徑存取。
缺點：管理員可改登錄繞過、Linux Live USB 繞過、不加密資料本體。

第二層：登錄隱藏磁碟機代號 (防好奇/視覺隱藏)

路徑：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
新建 DWORD：NoDrives，值 = 目標磁碟機位元遮罩 (十進位)。
計算：A=1, B=2, C=4, D=8, E=16, F=32, G=64, Z=33554432。
例：隱藏 C、D、E → 4+8+16=28。
優點：檔案總管不顯示、一般使用者找不到。
缺點：CMD/DiskPart/第三方工具仍可存取、無加密、同樣可改登錄還原。

第三層：磁碟管理移除磁碟機代號 (稍強隱藏)

diskmgmt.msc → 右鍵目標磁碟機 → 「變更磁碟機代號與路徑」 → 「移除」。
優點：無代號無法透過路徑直接存取、一般工具無法掛載。
缺點：DiskPart assign letter=X 即可恢復、Linux 掛載無影響、資料明文、系統/開機分區不可移除。

第四層：專業加密軟體 (真正機密保護)

威脅模型對應選型建議

• 同事/家人好奇：第一/二/三層任一即可。
• 筆電遺失/竊盜：BitLocker 系統碟 + 資料碟 (必開)，配合 BIOS/UEFI 開機密碼 + TPM。
• 勒索軟體/惡意程式竊取：BitLocker 無法防禦線上掛載狀態下的讀取 → 需 離線備份 (冷備份) + 應用白名單 (AppLocker/WDAC) + EDR。
• 跨國出差/邊境檢查：VeraCrypt 隱藏卷 + 合理否認性 + 關機狀態 (金鑰卸載記憶體)。
• 企業核心代碼/客戶資料：商業級加密 + DLP (資料外洩防護) + 零信任網路存取。

黃金法則

1. 加密 ≠ 備份：加密保護機密性，備份保護可用性，兩者缺一不可。
2. 金鑰管理是核心：恢復金鑰/密碼遺失 = 資料永久遺失。備份至實體保險箱、密碼管理器、受信任人員。
3. 關機才安全：BitLocker/VeraCrypt 掛載時金鑰駐留記憶體，DMA 攻擊/冷啟動攻擊可提取。離開時完全關機 (非睡眠/休眠)。
4. 分層防護：物理安全 (鎖/保全) → 磁碟加密 → 檔案加密 → 存取控制 → 稽核日誌 → 事件回應。

沒有絕對安全的單一工具，只有針對特定威脅模型的分層策略。從今天開始，為重要資料啟用 BitLocker/VeraCrypt，建立離線備份，睡前完全關機。