АртемЪ

Исключить загрузку с левого носителя, и возможность доступа к HDD.
Т.е пароль на биос, и собственно опечатывание корпуса.
Альтернатива - шифрование.

Именно диск? Чтобы работать как с диском по WebDAV или облачное хранилище?
Если не обязателен именно диск, то я бы посоветовал mega, шифрование там встроенное, причем генерируется ключ, и шифруется все на стороне клиента.
Т.е они принципиально не хранят дешифрованные данные.
И скорость у них хорошая.
И 50гигабайт на бесплатном тарифе. И вменяемые платные тарифы.

Есть специализированные дистрибутивы для оценки безопасности, а уж куда вы их будете ставить - на виртуалку, или на голое железо, это лично ваши проблемы.

Принимают на работу специалистов по ИБ и ставят им задачу.

Шпионить за сотрудниками это уголовно наказуемое деяние. Можно сесть.

Хотя организация вправе контролировать собственную почту, средства коммуникации, вести видеонаблюдение на территории.
Поэтому обязательно предупреждаете сотрудников, что корпоративная почта, чат, и.т.п служит исключительно для деловой переписки, и прочих рабочих нужд, вести личную переписку в них запрещено, уведомляете, что вся деловая почта, просматривается вышестоящими сотрудниками, и является собственностью организации.
Тогда можете без проблем контролировать и просматривать.

Личную почту, и чаты запретить административно, и закрыть доступ к ним технически.
Хотите смотреть что делает сотрудник на компьютере - нет проблем.
Предупреждаете (под роспись), что компьютер, собственность организации и служит исключительно для работы, все действия записываются, контролируются и сохраняются, личными делами заниматься на нем запрещено.

Вообще такие дела без юриста не делаются.
Если есть такая задача, составляете план технических действий, идете к юристу организации, чтобы он проверил законность всех действий, и составил нужные документы (например подписи у сотрудников собрал).
После чего, имея на руках письменный приказ начальства, и юридическое обоснование законности, можно переходить к технической реализации.

Извлечь файлы можно узнав пароль.
Пароль можно узнать у того, кто его знает, либо подобрать самому (брутафорс, словарная атака)
Других вариантов нет.

Не давайте пользователю доступ к папке где лежит этот файл.

Включаете на свиче зеркалирование портов, подключаете зеркальный порт к той машине на которой запущен снифер, и слушаете себе.

P.S. Когда выйдете по УДО, отпишитесь удалось ли прослушать трафик.

Работать исключительно через VPN+TOR.
Оплачивать хостинг исключительно чужими средствами.

Для начала нужно определится что и от чего стоит защищать, выяснить приоритеты.
Потом уже зная что и как нужно провести аудит, и выяснить слабые места.
И уже зная что, где и как можно начинать работы по ИБ.

Ну и надо понимать что ИБ это в первую очередь организаторские действия, работа с людьми, документами, и только во вторую это технические и программные средства защиты.