วิธีบล็อกพื้นที่เก็บข้อมูล USB บนคอมพิวเตอร์บริษัท

01กำหนดสิ่งที่ต้องการบล็อก

การ บล็อกพื้นที่เก็บข้อมูล USB บนคอมพิวเตอร์บริษัท ควรเริ่มจากกำหนดว่าเครื่องใดต้องจำกัด ต้องการลดความเสี่ยงจากการโอนไฟล์อะไร และพนักงานจะทำงานที่ถูกต้องให้เสร็จอย่างไร ใช้การควบคุมที่เหมาะสมแล้วตรวจผลที่เครื่องด้วยไฟล์ทดสอบที่ไม่สำคัญ การเลือกตัวเลือกในคอนโซลไม่เท่ากับการยืนยันผลแล้ว

พื้นที่เก็บข้อมูล USB รวมถึงแฟลชไดรฟ์และดิสก์ภายนอก แป้นพิมพ์ เมาส์ หูฟัง โทรศัพท์ และแท่นเชื่อมต่ออาจใช้ USB เช่นกัน แต่ไม่ใช่อุปกรณ์ประเภทเดียวกัน กำหนดให้พื้นที่เก็บข้อมูลเป็นเป้าหมาย แทนการปิดพอร์ต USB ทุกช่อง ทดสอบฮาร์ดแวร์ที่ทีมใช้จริง โทรศัพท์ที่ใช้โพรโทคอลถ่ายโอนอีกแบบต้องประเมินแยก

ขั้นตอน Lock USB drives ของ Net Monitor for Employees Pro ในบทความนี้ใช้กับ คอมพิวเตอร์ Windows ของพนักงาน อย่าถือว่าคำสั่งนี้รองรับ macOS, Linux หรือ ChromeOS เพียงเพราะคุณสมบัติอื่นรองรับระบบเหล่านั้น สำหรับเครื่องหลายระบบ ให้เลือกและตรวจการควบคุมเฉพาะแพลตฟอร์มที่เหมาะสม

เขียนเกณฑ์ยอมรับสั้น ๆ เช่น “บน PC บัญชีที่ใช้ทดลอง ผู้ใช้ทดสอบคัดลอกไฟล์ที่ไม่สำคัญเข้าและออกจาก USB ทดสอบไม่ได้ แต่แป้นพิมพ์และเมาส์ยังทำงาน และ IT ที่มีสิทธิคืนการเข้าถึงได้” เพิ่มชื่อเครื่อง ผู้ใช้ ระบบปฏิบัติการ ประเภทอุปกรณ์ ผู้รับผิดชอบ และทางเลือกแชร์ไฟล์ที่อนุมัติ

02เลือกการควบคุมที่มีขอบเขตถูกต้อง

คู่มือ Tools and Restrictions แยกคำสั่งทันทีสำหรับเครื่องที่เลือกออกจากข้อจำกัดถาวรที่ใช้ทั่วระบบ ความแตกต่างนี้สำคัญกว่าชื่อคำสั่งที่คล้ายกัน

Windows มี นโยบายเข้าถึงพื้นที่เก็บข้อมูลแบบถอดได้ ด้วย หากต้องการรายละเอียดมากขึ้น ให้ดู เอกสารควบคุมอุปกรณ์ของ Microsoft ระบบนโยบายเหล่านี้แยกต่างหาก ไม่ใช่ค่าที่ Net Monitor for Employees Pro ตั้งให้อัตโนมัติ ระบุว่าระบบใดเป็นผู้บังคับใช้ เพื่อไม่ให้ผู้ดูแลยกเลิกข้อจำกัดหนึ่งโดยไม่รู้ว่าอีกข้อยังทำงานอยู่

คำสั่งว่า “อนุญาตเฉพาะ USB ที่อนุมัติ” ต้องการมากกว่าการล็อกพื้นที่เก็บข้อมูลทั่วไป ตรวจว่าโซลูชันรองรับกฎตัวตนอุปกรณ์ สิทธิ และข้อยกเว้นที่ต้องใช้ อย่าสมมติว่าการล็อก USB ของผลิตภัณฑ์มีรายการอนุญาตตามหมายเลขประจำเครื่อง การอ่านอย่างเดียว การตรวจเนื้อหาไฟล์ หรือข้อยกเว้นหมดอายุอัตโนมัติ

03บล็อก USB บนคอมพิวเตอร์ Windows ที่เลือก

1. ระบุเครื่อง Windows ของบริษัทในขอบเขตและยืนยันว่าเอเจนต์เชื่อมต่ออยู่ เริ่มจากเครื่องทดลองที่การหยุดชะงักไม่กระทบงานจริง
2. บันทึกสถานะการเข้าถึงเดิมและให้ผู้ใช้โอนไฟล์ที่ถูกต้องให้เสร็จ ใช้ USB ทดสอบที่มีเฉพาะไฟล์ไม่สำคัญ อย่าขัดจังหวะการสำรองข้อมูลจริงหรือการเขียนไฟล์งานที่กำลังดำเนินอยู่
3. เลือกคอมพิวเตอร์เป้าหมายในคอนโซล เปิด Tools and Restrictions แล้วใช้ Lock USB drives ใน Tools ตรวจเครื่องที่เลือกก่อนส่งคำสั่ง
4. บนเครื่องปลายทาง ให้ทดสอบเปิดไดรฟ์และคัดลอกไฟล์ที่ไม่สำคัญทั้งสองทิศทาง ตรวจทั้งไดรฟ์ที่ต่อไว้ก่อนและที่เพิ่งเสียบ บันทึกสิ่งที่เกิดขึ้นจริง ไม่ใช่เพียงว่าส่งคำสั่งแล้ว
5. เมื่อจบการทดสอบที่ได้รับอนุญาตหรือข้อจำกัดชั่วคราว ให้ใช้ Unlock USB drives กับเครื่องที่ตั้งใจและตรวจว่าเข้าถึงได้อีกครั้ง หากนโยบายอื่นยังปฏิเสธ ให้ติดต่อผู้รับผิดชอบแทนการส่งคำสั่งปลดล็อกซ้ำ ๆ

ถือว่าเครื่องที่ติดต่อไม่ได้คือ ยังไม่ผ่านการตรวจยืนยัน การส่งคำสั่งจากคอนโซลไม่พิสูจน์ว่าเครื่องออฟไลน์รับหรือใช้คำสั่งนั้นแล้ว เชื่อมต่อเครื่องใหม่ ตรวจสถานะ และทดสอบที่เครื่องซ้ำก่อนบันทึกว่างานเสร็จ

04ตรวจข้อจำกัดถาวรก่อนขยายการใช้งาน

สำหรับกฎที่ต้องทำงานต่อเนื่อง ใช้ Lock USB drives ใน Restrictions หลังตรวจขอบเขตทั่วระบบแล้วเท่านั้น เอกสารระบุว่าค่านี้ใช้กับเครื่องพนักงานทั้งหมด ไม่ใช่เฉพาะเครื่องที่เลือก การเลือกแผนกหนึ่งไม่ได้ทำให้ข้อจำกัดทั่วระบบกลายเป็นนโยบายเฉพาะแผนก

ทดสอบโหมดนี้ในสภาพแวดล้อมแยกที่จำกัด คู่มือระบุว่าการตั้งค่าข้อจำกัดเก็บบนเครื่องระยะไกลและใช้ซ้ำหลังเชื่อมต่อใหม่ ตรวจพฤติกรรมเมื่อเชื่อมต่อใหม่และหลังเริ่มระบบใหม่ตามแผน อย่าใช้คำอธิบายนั้นแทนการทดสอบเอเจนต์ รุ่น Windows และฮาร์ดแวร์เก็บข้อมูลที่ใช้งานจริง

การปิดค่าถาวรจะส่งคำสั่งย้อนกลับ วางแผนขอบเขตที่ได้รับผลและการตรวจคืนสิทธิก่อนทำ หากต้องคงล็อกทั่วระบบไว้ อย่าถือว่าปลดล็อกเครื่องเดียวจะสร้างข้อยกเว้นถาวร ใช้ทางโอนที่อนุมัติหรือระบบควบคุมอุปกรณ์ที่รองรับรูปแบบข้อยกเว้นที่ต้องการ

05จัดการข้อยกเว้นงานโดยไม่ทำให้กฎอ่อนลง

ข้อยกเว้นควรระบุงาน เครื่อง ผู้อนุมัติ ข้อมูลที่อนุญาต เวลาเริ่มและสิ้นสุด และผู้รับผิดชอบคืนข้อจำกัด เวลาหมดอายุที่เขียนไว้เป็นเพียงการเตือนให้ดำเนินงาน เว้นแต่ระบบรองรับและบังคับใช้การหมดอายุอัตโนมัติจริง

ตัวอย่างเช่น พนักงานการเงินต้องส่งข้อมูลส่งออกให้ผู้รับที่อนุมัติ ก่อนอื่นตรวจว่าตำแหน่งแชร์ที่ได้รับอนุญาตหรือ ขั้นตอนโอนไฟล์ที่จัดการได้ ทำงานนี้แทนได้หรือไม่ หากจำเป็นต้องใช้สื่อถอดได้ IT ต้องเลือกข้อยกเว้นที่ระบบรองรับ ตรวจปลายทาง และยืนยันว่าคืนข้อจำกัดแล้วภายหลัง อย่าเปิด USB ให้ทุกเครื่องเพียงเพื่อให้คนเดียวโอนไฟล์

เก็บบันทึกข้อยกเว้นแยกจากสมมติฐานว่าเครื่องมือบันทึกอะไรให้อัตโนมัติ ระบุผู้อนุมัติ ช่วงเข้าถึงจริง ผลตรวจ และการปิดข้อยกเว้น อธิบายเส้นทางที่อนุมัติใน นโยบายติดตามและเข้าถึงในที่ทำงาน เพื่อให้พนักงานรู้ว่าควรทำอย่างไรเมื่อไดรฟ์ที่ถูกบล็อกขัดงานที่ถูกต้อง

06ใช้ชุดทดสอบ USB ที่ทำซ้ำได้

ใช้ชุดตรวจเล็ก ๆ เดิมก่อนขยายการใช้งานและเมื่อนโยบาย เอเจนต์ ระบบปฏิบัติการ หรือประเภทอุปกรณ์ที่เกี่ยวข้องเปลี่ยน กำหนดผลที่คาดไว้ก่อนและเตรียมทางกู้คืนให้พร้อม

ผลทดสอบที่ไม่ผ่านเป็นข้อมูลสำคัญเกี่ยวกับขอบเขต ตรวจประเภทอุปกรณ์ แหล่งนโยบาย การเชื่อมต่อ และระบบปฏิบัติการที่รองรับ อย่าระบุว่าเครื่องหลายชนิดทั้งหมดได้รับการป้องกันแล้วหลังลองแฟลชไดรฟ์เดียวบน Windows เครื่องเดียว

07เข้าใจขอบเขตการป้องกันให้ถูกต้อง

การบล็อกพื้นที่เก็บข้อมูล USB ปิดเส้นทางโอนหนึ่งทาง แต่ไม่ได้พิสูจน์ว่าไฟล์ไม่เคยถูกคัดลอกหรือหยุดการสูญเสียข้อมูลทุกรูปแบบ อีเมล คลาวด์ การพิมพ์ และการเข้าถึงผ่านระบบอื่นต้องมีการควบคุมของตนเอง ใช้ คู่มือป้องกันข้อมูลรั่วไหลจากพนักงาน สำรวจเส้นทางอื่น และ ภาพรวมการควบคุมเครื่องปลายทาง เปรียบเทียบคำสั่งที่มี

หากต้องสอบสวนการโอนที่น่าสงสัย ให้แยกสถานะการควบคุมที่เห็นออกจากหลักฐานการทำงานกับไฟล์จริง ภาพหน้าจอหรือรายการแอปอาจให้บริบทโดยไม่พิสูจน์ว่าไฟล์ใดไปถึง USB เก็บบันทึกอิสระที่เกี่ยวข้องและใช้ ทะเบียนหลักฐานที่มีโครงสร้าง แยกข้อสังเกต คำอธิบาย และข้อสรุป

ผลการปฏิบัติงานควรชัดเจน: เครื่อง Windows เป้าหมายผ่านชุดทดสอบ งานจำเป็นยังทำได้ ข้อยกเว้นมีผู้ดูแล และตรวจการคืนสิทธิแล้ว นี่เป็นฐานในการขยายงานที่ดีกว่าการกล่าวว่าความเสี่ยง USB ทุกอย่างถูกกำจัดแล้ว

08คำถามที่พบบ่อยเรื่องการบล็อกพื้นที่เก็บข้อมูล USB

บล็อกพื้นที่เก็บข้อมูล USB แล้วแป้นพิมพ์หรือเมาส์จะถูกบล็อกด้วยหรือไม่?

ข้อจำกัดพื้นที่เก็บข้อมูลมุ่งไปที่หน้าที่ต่างจากการรับข้อมูลแป้นพิมพ์หรือเมาส์ปกติ อย่ามองว่าเป็นการปิดทุกพอร์ต USB ทดสอบแป้นพิมพ์ เมาส์ แท่นเชื่อมต่อ และอุปกรณ์จำเป็นที่พนักงานใช้จริง

อนุญาตเฉพาะแฟลชไดรฟ์ที่อนุมัติหนึ่งตัวได้หรือไม่?

ได้เมื่อระบบควบคุมอุปกรณ์ที่เลือกสนับสนุนข้อยกเว้นนั้นเท่านั้น คำสั่งทั่วไป Lock USB drives ไม่ได้สร้างรายการอนุญาตตามหมายเลขประจำเครื่อง ตรวจการให้สิทธิตามตัวตนอุปกรณ์แยก หรือใช้เส้นทางโอนทางเลือกที่อนุมัติ

การล็อกเครื่องที่เลือกมีขอบเขตเหมือน Restrictions หรือไม่?

ไม่เหมือนกัน Tools ส่งคำสั่งทันทีไปยังเครื่องที่เลือก ส่วน Restrictions ใช้ค่าถาวรทั่วระบบ ตรวจโหมดและเครื่องที่จะได้รับผลก่อนเปลี่ยนทั้งสองแบบ

ขั้นตอนนี้บล็อกพื้นที่เก็บข้อมูลได้ทุกระบบปฏิบัติการหรือไม่?

ไม่ใช่ คำสั่งล็อกพื้นที่เก็บข้อมูล USB ที่อธิบายนี้ใช้กับเครื่อง Windows ของพนักงาน macOS, Linux และ ChromeOS ต้องใช้วิธีควบคุมอุปกรณ์ที่รองรับและเหมาะสม การติดตามหลายแพลตฟอร์มไม่ได้แปลว่าบังคับใช้ USB ได้เหมือนกัน

ทำไม USB ยังถูกบล็อกหลังปลดล็อกแล้ว?

ตรวจว่ายังมีข้อจำกัดถาวรหรือนโยบาย Windows/ระบบจัดการอุปกรณ์อื่นอยู่หรือไม่ และเครื่องได้รับการเปลี่ยนแปลงแล้วหรือยัง ระบุนโยบายที่บังคับใช้อยู่ คืนสิทธิผ่านผู้รับผิดชอบที่ถูกต้อง แล้วตรวจผลที่เครื่องปลายทาง