Контроль USB-устройств и локальных портов: как заблокировать флешки, но не парализовать работу офиса?

Всем салют! Хотелось бы обсудить тему контроля физических периферийных устройств на рабочих станциях. Полное закрытие USB-портов через групповые политики GPO - уже классика, но как по мне вариант так себе, т.к. на практике ломает процессы: отваливаются токен-ключи для ЭП, специализированное оборудование, ручные сканеры и даже банальные беспроводные мыши. При этом постоянные запросы на "разовую разблокировку флешки" заваливают первую линию поддержки. С другой стороны, разрешение записи на флешки без теневого копирования и блокировки - это прямой путь к сливу конфиденциалки. Как у вас реализована политика Device Control? Пользуетесь встроенными средствами ОС или чем-то специализированным: антивирусом или dlp? Как решаете вопрос с белыми списками устройств и безопасным обменом через флешки?