[dreamond]

по большому счёту, если у пользователя есть доступ к файлам БД, то их можно скопировать/испортить/удалить скриптом либо командным файлом. А от запрета на командные файлы головняка будет намного больше »

все это конечно и понятно правильно, но в в данном случае требуется просто защита от излишне любопытных. Учитывая что всем пользователям будет зарезана возможность установка программ то наверное все ж таки наиболее простым будет запрет на просмотр этого каталога, а ТС можно не боятся стоять его там (или аналогичных программ) просто не будет. По поводу CMD, да тут следует поразмыслить, но имея 2 годичный опыт работы с этим юзерами у меня возникает сильное сомнение что они полезут в CMD- мозгов не хватит.

Если же рассуждать с точки зрения глобальной политики безопасности тогда, да, следует более четко и серьезно этим заниматься, а мне такого ЦУ не давали, как говориться инициатива наказуема или редко поощряема