[Andrey]

Понаписали-то... Эх...
Если полная формулировка задачи стоит как "есть некое хранилище софта + хранилище данных, которыми юзер должен мочь пользоваться (причем, видимо, не только в режиме read-only), но не иметь возможности утырить как софт, так и данные", то решение достаточно очевидно (странно, что до сих пор не написал никто).
1. Физический уровень: винт (или таки лучше рэйд?) поместить в отдельную машину, машину запереть в отдельной комнате с ограниченным доступом.
2. Логический уровень 1: абы не было возможности "в лоб" скопировать данные - доступ к софту осуществляется в терминальном режиме (реализация терпинального режима - в зависимости от базовой ОС для софта, но в общем-то щас для всех ОС есть нормальные терминалы). При настройке терминала полностью заблокировать возможности прямого доступа к файловой системе терминал-сервера.
3. Логический уровень 2: уж если хочется "полной безопасности" - рабочие станции, с которых возможен доступ к софту отрубить от Инета и других рабочих станций (любым методом разделения сетей, для полной безопасности выделить сегменты на уровне VLAN или физически разделить сети), а также полностью заблокировать возможности работы с любыми внешними накопителями. Если есть необходимость внешнего обмена - выделить станцию импорта-экспорта и для нее назначить привязку логина-пароля. Логин-пароль отдать "ответственному лицу" и все операции ввода-вывода данных осуществлять "двойным контролем" - то бишь ответственное лицо логиниться, некий работник делает обмен данными под наблюдением ответственного лица, далее станция разлогинивается.

В общем, всё. Решение, имхо, достаточно надежно даже в "базовой конфигурации". Если очень надо "совсем безопасность" - можно еще разделить сети на логическом уровне, коннекты через VPN нагородить и т.д.

Если же надо реализовать всё это дело "на отдельно взятом компе" - тогда только полная блокировка возможностей подключения внешних накопителей и привязка данных к установленной ОС (чтобы избежать возможности чтения данных методом переустановки ОС или подключения винта к другому компу).

Как-то так.