Для разграничения прав доступа пользователей можно воспользоваться как специализированными средствами защиты информации от несанкционированного доступа, так и встроенными в операционные системы механизмами. С помощью защитных механизмов Windows можно ограничить права на изменение файлов и папок, содержащих критичную информацию. Для этого нужно предоставить права только на «Чтение и выполнение» необходимым пользователям/группам/всем пользователям во вкладке «Свойства»->«Безопасность» необходимых папок/файлов. Отмечу, что право на чтение естественным образом предполагает право на копирование, то есть разрешая пользователю читать файл, мы разрешаем ему и копирование. Так как права на чтение и копирование являются практически идентичными в своей сущности, для ограничения копирования прибегают к различным уловкам: например, можно заблокировать права записи в некоторые папки, запретить действия снятия скриншота, копирования в буфер обмена и т.д. Частично с этой задачей помогут справиться DLP-системы, с помощью которых можно контролировать потоки информации, запрещать доступ к USB-носителям. Архитектура, основанная на использовании «тонких клиентов» также может помочь: при отсутствии на «тонком клиенте» жесткого диска пользователю просто некуда копировать информацию, а вся обработка критичной информации ведется на сервере.