Pesquisa de Política de GrupoPolítica de Grupo
Português (Brasil)

Como bloquear gravação em unidades USB no Windows pela Política de Grupo

É possível restringir a cópia de arquivos para uma unidade USB. A política Discos removíveis: negar acesso de gravação em Habilitado nega a gravação na classe de armazenamento de discos removíveis; ela não bloqueia a leitura nem todos os dispositivos USB. A configuração correspondente do Storage Policy CSP tem escopo de dispositivo e oferece suporte ao Windows 10 1809 ou posterior nas edições Pro, Enterprise, Education e IoT Enterprise. Outra política do BitLocker pode negar a gravação em unidades de dados removíveis que não estejam protegidas pelo BitLocker.

O que verificar após aplicar a política

Essa política ajuda a reduzir a cópia não autorizada de dados de um computador para armazenamento USB removível, mas não impede todas as formas de exfiltração. Quando aplicada, salvar, modificar, excluir ou copiar arquivos para um disco removível pode falhar. A proteção contra gravação também pode resultar de uma chave física ou de uma GPO de domínio. Se alterações locais forem revertidas, verifique a política de domínio e contate o administrador. Se o acesso for negado ao abrir a unidade, verifique também restrições de leitura separadas, outras configurações de segurança e o estado do dispositivo.

Passos

  1. Abra gpedit.msc e acesse Configuração do Computador › Modelos Administrativos › Sistema › Acesso de armazenamento removível em Configuração do Computador.
  2. Abra Discos removíveis: negar acesso de gravação, selecione Habilitado e aplique a alteração.
  3. Verifique a política aplicada e tente copiar um arquivo para um disco removível. Uma GPO de domínio pode substituir a configuração local e exigir alteração por um administrador.
  4. Para voltar a permitir gravação por esta política, selecione Desabilitado ou Não Configurado. Outras configurações de segurança ou o estado do dispositivo ainda podem restringir o acesso.

Alternativa pelo Registro

Também é possível definir o valor da política do computador no Registro. Ele é separado de StorageDevicePolicies\WriteProtect. Consulte a página do valor do Registro.

HKLM\SOFTWARE\Policies\Microsoft\Windows\RemovableStorageDevices\{53f5630d-b6bf-11d0-94f2-00a0c91efb8b}
Deny_Write (REG_DWORD)
1 = enabled
0 = disabled

Nesta política, o DWORD Deny_Write com valor 1 nega a gravação; com valor 0, permite a gravação.

  1. Abra regedit com permissões de administrador. Faça backup da chave de destino existente ou, se ela não existir, de uma chave pai existente. Anote se Deny_Write existe e, em caso afirmativo, seu tipo e valor atuais.

    No Editor do Registro, selecione a chave de destino existente ou, se ela não existir, uma chave pai existente. Escolha Arquivo > Exportar, defina o local e o nome do arquivo e salve o backup .reg.

  2. Crie as chaves ausentes e o valor DWORD Deny_Write, se necessário, e defina seus dados como 1. Verifique a política aplicada e teste a cópia de um arquivo para um disco removível.

  3. Para desfazer a alteração, restaure o valor e o tipo anteriores se ele existia; caso contrário, exclua somente o valor Deny_Write recém-criado. Deixe as outras chaves e valores intactos.

Uma política de domínio pode ser reaplicada e substituir alterações manuais. Se uma GPO controlar a configuração, use o editor de políticas ou contate o administrador. Um 0 definido manualmente não equivale ao estado “Não configurada” da Política de Grupo.

Referência: modelos de política do Windows 11 versão 26H2 (verificados em 2026-11-04).

Referências