tak já to zkusím...
předem upozorním, že bych navrhoval jiné řešení, které bude dole. automaticky předpokládám omezený účet.
------
zabezpečení souboru či složky se dá podle acl/dacl signatur

stejně userovi musíš povolit minimálně právo čtení, jinak s tím nebude moci pracovat.
---
přístup k zařízením:
windows je povrchově koncipován aby umožnil přístup k čemukoliv (zvídavý človíček na sedmách zjistí, že si jeho profil může číst kdokoliv), systém nechápe zařízení, ovladače, schopnosti tak jak jsou, ale přistupuje k nim pomocí objektů- jsou to objekty. objekt hardisk jemuž je přiřazeno písmeno c a má cestu multi(0)disk(0)rdisk(0)partition(1) = 3 symbolické cesty, kde se dá zakazovat. to se dá ošoférovat pomocí winobj

------
síť se dá zakázat přeci v routeru- podle macka vybereš kdo jo a kdo ne.
-----
pokud bych já seděl za tím stolem a měl bych "nehlídaný čas" a pominu dětský postup- vyjmout disk, nahrát jinam, tak nabootovat erd a ukrást ti ten obrázek mi zabere cca. 2 minuty. tam by byl vhodný pytlíkovo truecrypt= není co krást.
----
pokud je uživatel zkušený, ukradne ti obrázek z ram- rammap a windbg, samotný bůh windows to zahrnul do přednášky.

suma sumárum- pokud má uživatel fyzický přístup k pc neuchráníš ho, pokud budeš načítat z chráněného serveru (no cache) neuchráníš ho, viz. paměť.
---
mé doporučení je web kamera a sledovat ho- smlouva bude obsahovat příslušné sledování.