Какие процессы запускались — надо настроить Data collectors set, думаю, там можно настроить писать все запущенные процессы + уведомления по e-mail. Кстати, не уверен, если DCS есть в клиентских ОС, я с серверными виндами работаю.
Какие программы были открыты - не подскажу, но можно подумать и workaround придумать.
Какие папки были открыты - тут все очень просто, если это ПРО версия, в групповых политиках включаете аудитинг для Object Access в Success и Failure, потом на нужных папках на вкладке Security нажимаете Advanced и на вкладке Auditing включаете аудит для всех. Запись о доступе к папке будет сыпаться в event viewer - security log, там же можно настроить уведомления по e-mail
