Puoi verificare se è stato eseguito un login da parte di un certo utente. Questo è memorizzato nell'event viewer... sempre che il logging sia attivo.
Non credo proprio tu possa individuare i file eventualmente aperti/copiati.

Ti sposto in Windows e software.