윈도우 그룹 정책으로 USB 드라이브 쓰기 차단하기
USB 드라이브에 파일을 복사하지 못하게 쓰기 접근을 제한할 수 있습니다. 이동식 디스크: 쓰기 권한 거부 정책을 사용 상태로 설정하면 이동식 디스크 저장소 클래스의 쓰기 접근이 거부됩니다. 읽기나 모든 USB 장치를 차단하는 설정은 아닙니다. 해당 Storage Policy CSP 설정은 장치 범위에 적용되며 Windows 10 1809 이상의 Pro·Enterprise·Education·IoT Enterprise를 지원합니다. 별도의 BitLocker 정책으로 BitLocker가 보호하지 않는 이동식 데이터 드라이브의 쓰기 접근을 거부할 수 있습니다.
적용 후 확인할 점
이 정책은 컴퓨터에서 이동식 USB 저장소로 데이터를 무단 복사할 가능성을 줄이는 데 도움이 되지만, 모든 데이터 유출 경로를 막지는 않습니다. 정책이 적용되면 이동식 디스크에 파일을 저장, 수정, 삭제하거나 복사하는 작업이 실패할 수 있습니다. 쓰기 방지는 물리적 스위치나 도메인 GPO 등 다른 원인으로도 발생할 수 있습니다. 로컬 변경 사항이 되돌아가면 도메인 정책을 확인하고 관리자에게 문의하세요. 드라이브를 열 때 접근이 거부된다면 별도의 읽기 제한이나 다른 보안 설정, 장치 상태도 확인하세요.
단계
gpedit.msc를 열고 컴퓨터 구성의컴퓨터 구성 › 관리 템플릿 › 시스템 › 이동식 저장소 액세스경로로 이동합니다.- 이동식 디스크: 쓰기 권한 거부 정책을 열어
사용상태를 선택하고 적용합니다. - 적용된 정책을 확인하고 이동식 디스크에 파일 복사를 시도합니다. 도메인 GPO가 로컬 설정보다 우선할 수 있으므로 관리자가 변경해야 할 수 있습니다.
- 이 정책의 쓰기 허용 상태로 되돌리려면
사용 안 함또는구성되지 않음상태를 선택합니다. 다른 보안 설정이나 장치 상태는 여전히 접근을 제한할 수 있습니다.
레지스트리로 설정하기
컴퓨터 정책 값은 레지스트리에서도 설정할 수 있습니다. 이는 StorageDevicePolicies\WriteProtect와 별개입니다. 레지스트리 값 페이지도 참고하세요.
HKLM\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}
Deny_Write (REG_DWORD)
1 = enabled
0 = disabled
이 정책에서 Deny_Write DWORD 값이 1이면 쓰기가 거부되고 0이면 쓰기가 허용됩니다.
-
관리자 권한으로
regedit를 엽니다. 대상 키가 있으면 해당 키를, 없으면 기존 상위 키를 백업합니다.Deny_Write의 존재 여부와 기존 값이 있다면 그 형식과 데이터를 기록합니다.레지스트리 편집기에서 기존 대상 키를 선택하고 대상이 없으면 기존 상위 키를 선택한 다음 파일 > 내보내기를 선택합니다. 위치와 파일 이름을 지정하여
.reg백업 파일을 저장합니다. -
필요한 경우 누락된 키와 DWORD 값
Deny_Write를 만들고 값 데이터를1로 설정합니다. 적용된 정책을 확인한 뒤 이동식 디스크에 파일을 복사해 봅니다. -
변경을 취소하려면 기존 값이 있었을 때 이전 형식과 데이터를 복원하고, 새로 만든 경우에는
Deny_Write값만 삭제합니다. 다른 값과 키는 그대로 둡니다.
도메인 정책이 다시 적용되어 수동 변경 사항을 덮어쓸 수 있습니다. GPO가 설정을 제어한다면 정책 편집기를 사용하거나 관리자에게 문의하세요. 수동으로 설정한 0은 그룹 정책의 ‘구성되지 않음’ 상태와 같지 않습니다.
기준: Windows 11 버전 26H2 정책 템플릿 (2026-11-04 확인).