Возникла у меня задача: необходимо обезопасить несколько рабочих станций от несанкционированного запуска ОС с флешек или внешних жестких дисков. Представьте ситуацию: сотрудник пришел на работу, вставил свою флешку с собственной операционной системой и запустил с нее компьютер, обойдя все установленные корпоративные политики безопасности. Это категорически недопустимо.

Задача, бесспорно, актуальна. Опишу свой опыт. Мы решали это в основном через BIOS/UEFI. Заходили в настройки каждой машины и отключали возможность загрузки с USB. Этот способ довольно эффективен, так как требует физического доступа к компьютеру и знания пароля BIOS.

Что касается BIOS/UEFI, то это, безусловно, база. Однако, полагаться только на это я бы не советовал. В свое время столкнулись с тем, что сотрудники, обладающие минимальными навыками, легко обходили пароли BIOS, используя различные утилиты сброса.

Все программные методы, включая GPO, хороши, но имеют один общий недостаток: они зависят от операционной системы. Если загрузка происходит с внешнего носителя, то все эти защиты обходятся стороной. Самым надежным способом, по моему мнению, является использование аппаратных решений. Лучше поставить ПАК Соболь версии 4. Купить его можно на этом сайте https://www.secure-market.ru/collection/pak-sobol-4