Windows 专业版自带 BitLocker，开启后硬盘拆下来也读不出数据。这是最基础也最有效的一层。
员工只能访问自己需要的目录，而不是整个共享盘。离职当天停用账号，比收电脑更重要。
敏感数据放在服务器或云端，本地只做展示。配合水印、下载限制，能减少带走的风险。
· 当天停用所有账号（邮箱、OA、VPN、共享盘）
· 收回设备，检查是否有私装软件
· 交接文件，确认没有遗漏
· 保留一段时间的审计日志
入职时签保密协议和设备使用规定，明确「公司设备仅用于工作」「离职需交还全部数据」。有这个约定，后续处理会简单很多。
