[Koza Nozdri]

Переместите рабочую директорию пользователя в расшаренный ресурс,либо установите жесткий контроль.
Остальные папки заблокировать от записи.
Либо установить контроль запуска программ,точнее разрешить только определенный софт.
Как правило это офисные продукты,браузер и терминал с 1с.
Иногда почтовый клиент.

На мой взгляд это оптимально.
Может кто нибудь предложит более дельный совет.

Да,думаю вам пригодится ограничение списка запускаемых программ при помощи групповых политик.
То есть запретить все,кроме определенных в списке.