Cách chặn thiết bị lưu trữ USB trên máy tính công ty

01Xác định điều cần chặn

Để chặn lưu trữ USB trên máy tính công ty, trước hết xác định máy nào cần hạn chế, rủi ro chuyển tệp cần xử lý và cách nhân viên hoàn thành công việc hợp lệ. Áp dụng biện pháp phù hợp rồi xác minh tại máy bằng tệp thử vô hại. Một tùy chọn được chọn trong bảng điều khiển không đồng nghĩa kết quả đã được xác nhận.

Lưu trữ USB gồm USB flash và ổ đĩa ngoài. Bàn phím, chuột, tai nghe, điện thoại và đế kết nối cũng có thể dùng USB nhưng không phải cùng loại thiết bị. Xác định lưu trữ là mục tiêu, thay vì yêu cầu tắt mọi cổng USB. Thử phần cứng thực tế của đội ngũ; điện thoại dùng giao thức chuyển dữ liệu khác cần được đánh giá riêng.

Quy trình Lock USB drives của Net Monitor for Employees Pro trong bài này áp dụng cho máy tính Windows của nhân viên. Đừng cho rằng thao tác lưu trữ USB này hỗ trợ macOS, Linux hay ChromeOS chỉ vì các chức năng khác hỗ trợ những nền tảng đó. Với hệ thống hỗn hợp, chọn và xác minh biện pháp kiểm soát riêng phù hợp từng nền tảng.

Viết điều kiện nghiệm thu ngắn, chẳng hạn: “Trên PC kế toán thử nghiệm, người dùng thử không thể sao chép tệp vô hại từ hoặc vào USB thử; bàn phím và chuột vẫn chạy; IT có thẩm quyền khôi phục được truy cập.” Ghi thêm tên máy, người dùng, hệ điều hành, loại thiết bị, người phụ trách và phương án chia sẻ được duyệt.

02Chọn biện pháp có phạm vi phù hợp

Trợ giúp Tools and Restrictions phân biệt thao tác tức thời trên máy được chọn với hạn chế lâu dài áp dụng toàn cục. Sự khác biệt này quan trọng hơn việc tên gọi tương tự nhau.

Windows cũng có chính sách truy cập lưu trữ rời. Nếu cần chi tiết hơn, xem tài liệu kiểm soát thiết bị của Microsoft. Đây là hệ thống chính sách riêng, không phải thiết lập Net Monitor for Employees Pro tự cấu hình. Ghi rõ hệ thống nào thực thi để quản trị viên không gỡ một hạn chế trong khi hạn chế khác vẫn hiệu lực.

Yêu cầu “chỉ cho phép USB được duyệt” cần nhiều hơn một khóa lưu trữ chung. Xác minh giải pháp hỗ trợ các quy tắc định danh, quyền và ngoại lệ cần thiết. Đừng mặc định khóa USB của sản phẩm có danh sách cho phép theo số sê-ri, chế độ chỉ đọc, kiểm tra nội dung tệp hoặc tự hết hạn ngoại lệ.

03Chặn lưu trữ USB trên máy Windows được chọn

1. Xác định máy Windows công ty trong phạm vi và xác nhận agent đang kết nối. Bắt đầu với máy thử mà gián đoạn không ảnh hưởng công việc thực tế.
2. Ghi trạng thái truy cập hiện tại và yêu cầu người dùng hoàn tất việc chuyển hợp lệ. Dùng USB thử chỉ có tệp vô hại; không ngắt bản sao lưu thật hoặc thao tác ghi tệp công việc đang diễn ra.
3. Trong bảng điều khiển, chọn máy cần xử lý, mở Tools and Restrictions và dùng Lock USB drives trong Tools. Kiểm tra lựa chọn trước khi gửi thao tác.
4. Tại máy đích, thử truy cập ổ và sao chép vô hại theo cả hai chiều. Kiểm tra ổ đã cắm và ổ mới cắm. Ghi điều thực sự xảy ra, không chỉ ghi rằng đã gửi lệnh.
5. Khi thử nghiệm được phép hoặc hạn chế tạm thời kết thúc, dùng Unlock USB drives cho máy dự kiến rồi xác minh truy cập đã trở lại. Nếu chính sách khác vẫn chặn, làm việc với chủ chính sách thay vì liên tục gửi lệnh mở khóa.

Coi máy không thể kết nối là chưa được xác minh. Gửi thao tác từ bảng điều khiển không chứng minh máy ngoại tuyến đã nhận hay áp dụng. Kết nối lại, xác nhận trạng thái liên quan và lặp lại thử nghiệm tại máy trước khi đánh dấu hoàn tất.

04Xác minh hạn chế lâu dài trước khi mở rộng

Với quy tắc cần duy trì, chỉ dùng Lock USB drives trong Restrictions sau khi kiểm tra phạm vi toàn cục. Theo tài liệu, thiết lập áp dụng cho mọi máy nhân viên chứ không chỉ các máy được chọn. Chọn một phòng ban không biến hạn chế toàn cục thành chính sách riêng của phòng ban đó.

Thử chế độ này trong môi trường riêng, giới hạn. Trợ giúp mô tả thiết lập hạn chế được lưu ở máy từ xa và áp dụng lại sau khi kết nối lại. Xác minh hành vi sau kết nối lại và lần khởi động lại dự kiến; không thay thử nghiệm trên agent, phiên bản Windows và phần cứng lưu trữ thực tế bằng mô tả đó.

Tắt thiết lập lâu dài sẽ gửi thao tác đảo ngược. Lập kế hoạch phạm vi ảnh hưởng và kiểm tra khôi phục trước khi làm. Nếu khóa toàn cục phải tiếp tục, đừng mặc định mở khóa một máy sẽ tạo ngoại lệ bền vững. Dùng đường chuyển được duyệt hoặc hệ thống kiểm soát hỗ trợ mô hình ngoại lệ cần thiết.

05Xử lý ngoại lệ công việc mà không làm yếu quy tắc

Ngoại lệ cần ghi nhiệm vụ, máy, người phê duyệt, dữ liệu được phép, giờ bắt đầu/kết thúc và người khôi phục hạn chế. Thời điểm hết hạn bằng văn bản chỉ là nhắc việc, trừ khi hệ thống thực sự hỗ trợ và thực thi tự hết hạn.

Ví dụ, nhân viên tài chính cần gửi dữ liệu xuất cho người nhận được duyệt. Trước hết kiểm tra thư mục chia sẻ được phép hoặc quy trình chuyển tệp có quản lý có đáp ứng được không. Nếu cần thiết bị rời, IT phải chọn ngoại lệ được hỗ trợ kỹ thuật, xác minh đích chuyển và xác nhận hạn chế được khôi phục sau đó. Đừng mở USB cho toàn bộ hệ thống chỉ để một người chuyển tệp.

Giữ hồ sơ ngoại lệ tách khỏi giả định về những gì công cụ tự ghi. Ghi người duyệt, thời gian truy cập thực tế, kết quả kiểm tra và việc đóng ngoại lệ. Mô tả đường chuyển được phép trong chính sách giám sát và truy cập nơi làm việc để nhân viên biết xử lý khi ổ bị chặn cản trở công việc hợp lệ.

06Dùng bài kiểm thử chặn USB có thể lặp lại

Chạy cùng nhóm kiểm tra nhỏ trước khi mở rộng và khi chính sách, agent, hệ điều hành hoặc loại thiết bị liên quan thay đổi. Xác định trước kết quả mong đợi và luôn có đường khôi phục.

Phép thử thất bại cung cấp thông tin hữu ích về phạm vi bảo vệ. Kiểm tra loại thiết bị, nguồn chính sách, kết nối máy và hệ điều hành hỗ trợ. Đừng đánh dấu cả hệ thống hỗn hợp đã được bảo vệ sau khi thử một USB trên một máy Windows.

07Đặt biện pháp bảo vệ trong đúng bối cảnh

Chặn lưu trữ USB đóng một đường chuyển dữ liệu có thể xảy ra; không chứng minh tệp chưa từng bị sao chép hay ngăn mọi dạng mất dữ liệu. Email, chia sẻ cloud, in và truy cập qua hệ thống khác cần kiểm soát riêng. Dùng hướng dẫn ngăn lộ dữ liệu từ nhân viên để lập bản đồ các đường khác và tổng quan kiểm soát đầu cuối để so sánh thao tác có sẵn.

Nếu cần điều tra nghi vấn chuyển tệp, tách trạng thái kiểm soát quan sát được khỏi chứng cứ của thao tác tệp thực tế. Hình màn hình hoặc mục ứng dụng có thể cung cấp bối cảnh mà không chứng minh tệp nào đến USB. Bảo toàn bản ghi độc lập liên quan và dùng sổ chứng cứ có cấu trúc để phân biệt quan sát, giải thích và kết luận.

Kết quả vận hành cần cụ thể: các máy Windows dự kiến vượt qua kiểm thử lưu trữ, công việc cần thiết vẫn chạy, ngoại lệ có người phụ trách và khôi phục đã được xác minh. Đây là cơ sở triển khai tốt hơn tuyên bố rằng mọi rủi ro USB đã bị loại bỏ.

08Câu hỏi thường gặp về chặn lưu trữ USB

Chặn lưu trữ USB có chặn cả bàn phím hoặc chuột không?

Hạn chế lưu trữ nhắm tới chức năng khác với nhập liệu bàn phím hay chuột thông thường. Đừng coi đó là tắt toàn bộ cổng USB. Thử bàn phím, chuột, đế kết nối và ngoại vi cần thiết thực tế của nhân viên.

Có thể chỉ cho phép một USB được duyệt không?

Chỉ khi hệ thống kiểm soát thiết bị đã chọn hỗ trợ ngoại lệ đó. Thao tác Lock USB drives chung không tạo danh sách theo số sê-ri. Xác minh truy cập theo định danh riêng hoặc dùng phương án chuyển được phép khác.

Khóa máy được chọn có cùng phạm vi với Restrictions không?

Không. Tools gửi thao tác tức thời tới các máy được chọn. Restrictions áp dụng thiết lập lâu dài toàn cục. Kiểm tra chế độ và máy bị ảnh hưởng trước khi đổi một trong hai.

Quy trình sản phẩm này chặn lưu trữ trên mọi hệ điều hành không?

Không. Thao tác khóa USB được mô tả dành cho máy Windows của nhân viên. macOS, Linux và ChromeOS cần phương pháp kiểm soát thiết bị được hỗ trợ phù hợp; giám sát đa nền tảng không có nghĩa thực thi USB giống nhau.

Vì sao USB vẫn bị chặn sau khi mở khóa?

Kiểm tra hạn chế lâu dài hay chính sách Windows/quản lý thiết bị khác còn áp dụng không và máy đã nhận thay đổi chưa. Xác định chính sách đang thực thi, khôi phục qua đúng người phụ trách rồi xác nhận tại máy.