[cameron]

Если идти по вашему варианту - на запуск что разрешаете? %ProgramFiles% и %WinDir% ? »

в общем и целом да, хотя этот вариант недостаточно хорош - кое куда пользователь писать может
стараюсь указывать пути в именем файла или хеш оного.

И еще вопрос - почему в дополнительных правилах прописаны пути вида %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot% и %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir% а не %SystemRoot% и %ProgramFiles% соответственно? »

этого я не знаю.

есть хорошее, почти готовое решение от MVP с ником WindowsNT (его ПРОТОКОЛ).
ознакомьтесь, крайне полезное чтиво.