電腦共用、攜帶外出、維修送修……硬碟裡的機密文件、財報、原始碼、私人照片如何防止被偷窺、竊取？本文由淺入深，先介紹三招 Windows 內建「隱藏/限制存取」技巧（適合防君子），再推薦三類商業/開源級「真加密」方案（防小人、防駭客、防實體竊取）。
第一層：群組原則限制存取磁碟機（防誤觸、防一般使用者）
- Win+R
gpedit.msc →「使用者設定」→「系統管理範本」→「Windows 元件」→「檔案總管」。
- 雙擊「防止從『我的電腦』存取磁碟機」→「已啟用」→ 下拉選單選擇欲限制磁碟機 (如 D:、E:) → 確定。
- 效果：雙擊磁碟機彈出「此作業因限制被取消」，無法透過總管進入；但命令列
D:、dir D: 仍可存取，無法阻擋具備基本技術能力的人員。
第二層：登錄表隱藏磁碟機代號（視覺隱身，同樣不防技術人員）
- 路徑：
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
- 新建 DWORD
NoDrives，值 = 目標磁碟機位元遮罩總和（十進位）：
- A=1, B=2, C=4, D=8, E=16, F=32, G=64, H=128, Z=33554432
- 例：隱藏 D、F、G → 8+32+64 = 104。
- 登出/重登生效：總管、檔案開啟對話框不再顯示該磁碟機；但
diskmgmt.msc、diskpart、命令列仍可操作。
第三層：磁碟管理移除磁碟機代號（路徑級隱藏，較難繞過）
- 右鍵「我的電腦/此電腦」→「管理」→「儲存體」→「磁碟管理」。
- 右鍵目標磁碟分區 →「變更磁碟機代號和路徑」→「移除」→ 是。
- 效果：總管、CMD
D: 皆無法進入；資料完全保留，僅移除掛載點。
- 還原：同路徑 →「新增」→ 指派原代號即可。
⚠️ 系統分區 (C:)、分頁檔/休眠檔所在分區、BitLocker 解鎖前分區 不可移除代號。
第四層：檔案/資料夾級真加密 — WinRAR / 7-Zip AES-256
- 右鍵檔案/資料夾 →「加入壓縮檔」→ 設定密碼 → 勾選「加密檔名」/「AES-256」→ 確定。
- 單向加密，無密碼無法解壓、無法列出檔名；跨平台免安裝解壓（7z 格式）。
- 適用：需加密傳輸、備份、暫存機密文件。
第五層：虛擬磁碟加密 — VeraCrypt (開源免費) / PGP (商業)
| 特性 | VeraCrypt | PGP (Symantec Encryption Desktop) |
|---|
| 授權 | 開源免費 (IDRIX) | 商業授權 |
| 技術 | 虛擬磁碟容器 / 分區加密 / 隱藏磁碟區 | 虛擬磁碟 (PGP Virtual Disk) / 整碟加密 / 檔案/資料夾加密 |
| 演算法 | AES/Serpent/Twofish/Camellia/Kuznyechik (可串聯) | AES-256, CAST5, Twofish |
| 跨平台 | Win/macOS/Linux/FreeBSD | Win/macOS/Linux |
| 金鑰管理 | 密碼 + 金鑰檔 + PIM + 硬體 Token (YubiKey 等) | 密碼 / 智慧卡 / 硬體 Token / AD 整合 |
| 企業功能 | 無集中管理 | PGP Universal Server 集中策略、金鑰備份、遠端刪除 |
建議：個人/小團隊用 VeraCrypt；企業需合規、集中管理、金鑰託管選 PGP。
第六層：實體扇區級全盤加密 — 核盾資料衛士 / BitLocker
- 核盾資料衛士：國產商業軟體，對物理扇區加密，支援寫保護分區、隱藏分區、鎖定 USB/光碟機、雙因子認證，通過國家商密認證，適合軍工/政府/金融高安環境。
- BitLocker (Win 專業/企業/教育版內建)：TPM + PIN/USB 金鑰，整碟加密，支援自動解鎖資料磁碟，企業可透過 AD/SCCM 統一管理金鑰備份。
選型決策樹
- 需跨平台、免費、開源 → VeraCrypt 容器/分區加密。
- 需企業集中管理、合規審計、AD 整合 → BitLocker + MBAM/SCCM 或 PGP Universal Server。
- 需國產商密、物理扇區加密、寫保護、隱藏分區、最高防竊等級 → 核盾資料衛士。
- 需臨時加密傳輸/備份單一檔案 → 7-Zip AES-256。
- 僅防非技術人員誤看 → 群組原則/登錄表/移除代號三選一。
資料價值決定防護等級：沒有絕對安全，只有「攻擊成本 > 資料價值」才是真正的安全！