Como configurar o acesso de gravação em unidades removíveis não protegidas pelo BitLocker no Windows

Mesmo montadas como dispositivos somente leitura, as permissões de unidades sem proteção do BitLocker podem ser alteradas. Isso ajuda a ampliar o acesso, reforçar a segurança ou simplificar fluxos de trabalho. Vamos mostrar como configurar o acesso de gravação em unidades removíveis sem proteção do BitLocker, além de recomendações para gerenciá-las e protegê-las.

Como configurar o acesso de gravação em unidades sem BitLocker

Veja os diferentes métodos para configurar o acesso à unidade não criptografada.

Pelo Editor de Política de Grupo

Siga estes passos para alterar o acesso de gravação de uma unidade removível sem proteção do BitLocker usando o Editor de Política de Grupo:

1. Abra o Editor de Política de Grupo Local pressionando Win + R, digitando “gpedit.msc” e clicando em OK.
2. Na parte esquerda, acesse a pasta Unidades de Dados Removíveis pelo caminho:

Configuração do Computador → Modelos Administrativos → Componentes do Windows → Criptografia de Unidade de Disco BitLocker → Unidades de Dados Removíveis

3. Na parte direita, dê um duplo clique em Negar acesso de gravação a unidades removíveis não protegidas pelo BitLocker.
4. Para liberar a gravação, selecione Não configurado (a opção padrão) ou Desativado e clique em OK. Para bloquear a gravação, selecione Ativado e clique em OK.

Se quiser aplicar essa política a usuários ou grupos específicos, crie um Microsoft Management Console (MMC) personalizado que os inclua. A partir desse MMC, dá para configurar o acesso de gravação deles a unidades removíveis seguindo os passos acima.

Pelo Editor do Registro (regedit)

Estes são os passos para permitir ou bloquear a gravação em pen drives e unidades removíveis semelhantes no Windows usando o Editor do Registro:

1. Abra o Editor do Registro pressionando Win + R, digitando “regedit” e pressionando Enter.
2. Acesse a pasta específica por este caminho:

HKEY_LOCAL_MACHINE → SOFTWARE → Policies → Microsoft → Windows → RemovableStorageDevices → {53f5630d-b6bf-11d0-94f2-00a0c91efb8b}

3. Crie um valor DWORD de 32 bits e dê a ele o nome Deny_Write.
4. Atribua um dos dados de valor abaixo antes de clicar em OK:

• • 0 — libera a gravação
  • 1 — bloqueia a gravação

5. Feche o Editor do Registro e reinicie o computador.

Apesar de ter apenas quatro bytes, cada valor DWORD do Registro do Windows é importante para o funcionamento tranquilo do sistema operacional. Por isso, atribuir nomes e funções corretos — verdadeiro (1) ou falso (0) — aos valores DWORD é essencial.

Pela Política de Segurança Local

Também dá para usar a Política de Segurança Local para bloquear ou liberar a gravação em USB nas unidades removíveis sem proteção do BitLocker.

1. Abra o console da Política de Segurança Local pressionando Win + R, digitando “secpol.msc” e pressionando Enter.
2. Vá até a pasta Acesso ao Armazenamento Removível por este caminho:

Configuração do Computador → Modelos Administrativos → Sistema → Acesso ao Armazenamento Removível

3. Na coluna Política, dê um duplo clique na política Discos removíveis: negar acesso de gravação para editá-la.
4. Na coluna Configuração de Segurança, clique com o botão direito e selecione Ativado para negar a gravação ou Desativado para permiti-la.
5. Feche o console e reinicie o computador.

Para ver os passos de configuração e verificação, assista a este vídeo curto: “Como configurar o acesso de gravação em unidades removíveis não protegidas pelo BitLocker no Windows”.

Como testar e verificar a configuração do acesso de gravação em unidades removíveis

Como conferir se a política foi aplicada corretamente

Depois de ajustar as configurações de segurança das unidades removíveis no Windows, confirme se elas realmente entraram em vigor.

1. Conecte a unidade removível (um pen drive ou cartão SD, por exemplo) ao computador.
2. Abra o Explorador de Arquivos. Clique com o botão direito na unidade e escolha Propriedades.
3. Clique na guia Segurança. Em Nomes de grupo ou de usuário, escolha o usuário ou grupo a que essa configuração/política se aplica.
4. Na janela de permissões abaixo, conforme o tipo de acesso definido, deve (ou não) haver uma marca na coluna Permitir ao lado de “Gravar”.

Também dá para usar a janela Nomes de grupo ou de usuário para selecionar outros usuários ou grupos e comparar as configurações de segurança deles; por exemplo, para confirmar se um grupo tem acesso de gravação às unidades removíveis e outro não.

Soluções comuns quando a configuração não funciona

Se o status “somente leitura” da unidade não mudar depois de configurar o acesso de gravação em unidades removíveis, tente uma destas ações:

• Procure um botão físico: pen drives e cartões SD costumam ter chaves deslizantes para travar ou destravar a gravação. Se a sua unidade tiver uma, confirme se está na posição certa.
• Verifique o espaço da unidade: sem espaço livre, a unidade entra automaticamente em modo “somente leitura”. Nesse caso, transfira e faça backup dos arquivos antes de configurar a gravação.
• Verifique se há vírus: vírus ou malware na unidade removível podem bloquear a gravação (e até a leitura). Por garantia, faça uma varredura com o antivírus do computador e trate ou remova qualquer ameaça encontrada o quanto antes.

Segurança e conformidade ao configurar o acesso de gravação em unidades removíveis

Para reduzir os riscos de segurança de liberar a gravação em uma unidade removível sem BitLocker, observe as considerações e medidas a seguir.

Como reduzir ameaças de segurança (malware, transferência não autorizada de dados etc.)

• Aproveite ao máximo o antivírus do dispositivo. Ative a proteção em tempo real, configure um firewall e faça varreduras regulares no dispositivo e nas unidades em busca de malware.
• Mantenha os dispositivos sempre atualizados. Isso vale não só para os softwares do computador, mas também para os drivers do armazenamento removível.
• Desconfie de arquivos desconhecidos e suspeitos na unidade. Não clique neles diretamente. Em vez disso, faça uma varredura na unidade e siga as recomendações da ferramenta de antivírus.

Entenda o BitLocker e as políticas de unidades removíveis

O que é BitLocker?

O BitLocker é um recurso de segurança nativo do Windows que protege a unidade contra acesso não autorizado por meio da criptografia de dados. Sem a chave e/ou a senha corretas para descriptografar a unidade, os dados aparecem embaralhados e ficam inacessíveis a terceiros. O BitLocker é especialmente útil quando a unidade é perdida, roubada ou desativada.

Como o BitLocker protege unidades removíveis

A criptografia de unidade do BitLocker também vale para armazenamento removível, pelo recurso BitLocker To Go. Ele serve para pen drives, cartões SD, HDs externos e outras unidades formatadas em NTFS, FAT16, FAT32 ou exFAT. Assim como nas unidades fixas, o BitLocker criptografa os dados do dispositivo removível e pede que você crie uma senha ou salve uma chave de recuperação gerada para voltar a acessar os dados.

Riscos de liberar a gravação em unidades desprotegidas

Configurar o acesso de gravação em uma unidade não criptografada reduz os passos necessários para alterar os dados nela, mas deixa a unidade exposta a vários riscos de segurança, entre eles:

• Roubo de dados: dados sensíveis, como registros pessoais e financeiros, podem ser roubados ou até alterados por usuários não autorizados sem que você perceba.
• Exclusão acidental: o uso descuidado da gravação pode levar à exclusão de arquivos ou pastas importantes por engano, com poucas chances de recuperação.
• Propagação de malware: com a gravação liberada, a unidade pode virar hospedeira de malware plantado por agentes maliciosos, física ou digitalmente.

Política de Grupo e configurações de registro para gerenciar armazenamento removível

Quando vários usuários de uma organização guardam dados corporativos sensíveis em pen drives, configurar corretamente o acesso de leitura e/ou gravação a essas unidades é vital para a cibersegurança da organização. Os profissionais de TI podem gerenciar esse acesso pela Política de Grupo e por configurações de registro; para isso, precisam de privilégios de administrador.

Boas práticas para organizações que gerenciam políticas de armazenamento removível

Em organizações e ambientes corporativos em que as pessoas lidam com frequência com armazenamento externo contendo dados sensíveis, as boas práticas para gerenciar permissões de unidades removíveis no Windows incluem:

• Garanta que as políticas certas se apliquem aos usuários e grupos certos. Dar acesso de gravação em unidades não criptografadas a usuários não autorizados pode causar perda ou uso indevido de dados corporativos importantes.
• Defina o acesso “somente leitura” como padrão e desative a execução automática. Sempre que possível, a gravação em unidades removíveis deve ficar restrita a quem tem privilégios de administrador. Além disso, desativar a execução automática impede que programas maliciosos rodem sozinhos quando a unidade é conectada ao computador.
• Incentive o armazenamento seguro das unidades removíveis. Lembre os usuários de guardar pen drives, cartões SD e HDs externos em locais frescos e protegidos, como cofres ou gavetas trancadas.

Implicações de conformidade (GDPR, HIPAA, recomendações do NIST etc.)

Cumprir determinadas normas e políticas sobre o tratamento adequado de dados é obrigatório, tendo você liberado ou bloqueado a gravação em unidades removíveis sem BitLocker. Entre essas regulamentações, estão:

• GDPR — segundo o Artigo 5(e) do Regulamento Geral sobre a Proteção de Dados (GDPR), relativo à limitação do armazenamento, os dados pessoais tratados para fins de arquivamento, pesquisa ou estatística não devem ser guardados indefinidamente, mas apenas enquanto houver utilidade. A ideia é proteger a privacidade e a segurança dos titulares dos dados.
• HIPAA — a Parte 164.310 da Regra de Segurança da Health Insurance Portability and Accountability Act (HIPAA) enfatiza que as entidades que lidam com informações eletrônicas de saúde protegidas (ePHI) devem estabelecer medidas para proteger o transporte, o uso e o gerenciamento de dispositivos e mídias que contenham ePHI. Essas medidas incluem backup e armazenamento adequados dos dados.
• NIST — a Special Publication 800-88 do National Institute of Standards and Technology (NIST) traz diretrizes abrangentes para a “sanitização” de diferentes tipos de mídia eletrônica, incluindo a “proteção [dos dados] contra… técnicas de recuperação… por meio dos comandos padrão de leitura e gravação no dispositivo de armazenamento”.

Outras medidas de segurança para unidades removíveis não criptografadas

Para proteger unidades removíveis, use os programas e as ferramentas certos para bloqueá-las e criptografá-las. Veja algumas ações para manter as suas unidades removíveis (ou as de outros usuários) longe de agentes maliciosos.

Exigir criptografia BitLocker em todas as unidades removíveis

Talvez o método mais confiável seja usar o recurso nativo de criptografia do Windows para armazenamento removível, em especial o BitLocker To Go. Os usuários conseguem ler e gravar em unidades protegidas pelo BitLocker usando as senhas e chaves de recuperação necessárias para descriptografá-las. Se o BitLocker não for a sua preferência, use ferramentas de criptografia de terceiros para manter as unidades removíveis a sete chaves.

Implementar políticas de prevenção de perda de dados (DLP)

Quando aplicadas, as políticas de DLP identificam e protegem dados sensíveis — de informações pessoais a registros financeiros — em vários endpoints, criando uma camada extra de segurança. Essas políticas podem ser personalizadas conforme os objetivos e recursos da organização, além dos tipos de dados que você quer proteger de terceiros não autorizados e invasores.

Auditoria do acesso ao armazenamento removível pelo Visualizador de Eventos do Windows

Por fim, dá para usar o Visualizador de Eventos do Windows para documentar manualmente o acesso às unidades removíveis com estes passos:

1. Abra o Visualizador de Eventos do Windows clicando no botão Iniciar, digitando “visualizador de eventos” e selecionando Visualizador de Eventos.
2. No painel esquerdo, dentro da pasta Logs do Windows, clique em Segurança.
3. Use os IDs de evento abaixo para acompanhar tentativas de leitura e gravação bem-sucedidas ou malsucedidas nas unidades removíveis:

• • Evento 4663 — sucesso
  • Evento 4656 — falha

Com base nesses logs, você pode criar ou ajustar políticas de acesso de gravação ao armazenamento removível nos endpoints conforme a necessidade.

Quando liberar ou restringir a gravação em unidades removíveis desprotegidas

Definir quem pode ter acesso de gravação às unidades removíveis depende da estrutura, dos objetivos e do fluxo de trabalho da organização (que pode ganhar agilidade com esse acesso, mesmo em armazenamento desprotegido). Lembre-se sempre de que essa decisão traz riscos consideráveis, como maior exposição de dados sensíveis a roubo e uso indevido.

A menos que liberar a gravação em unidades desprotegidas seja absolutamente necessário, recomendamos proteger todo o armazenamento removível com o BitLocker ou outra ferramenta de criptografia de terceiros e atualizar constantemente as políticas de armazenamento para os usuários e grupos adequados.