А если предусмотреть следующий вариант:
1. Сменные носители существуют только в отделе защиты информации (не знаю, как у вас это называется)
2. В отделе ЗИ осуществляется контроль всего, что пишется на эти носители, причем сами сотрудники ЗИ не имеют права исправлять логи (инструменты для этого есть)
3. Осуществляется полный контроль всего, что посылается на принтер.
4. На компах, на которых обрабатывается конфиденциальная информация, посылать на печать можно только на принтер отдела ЗИ, а там распечатки получать под запись в журнале, кто послал, что послал, кто выдал, кому выдал.
Я понимаю, что трудно и противно, но м.б. это выход?