M>Необходимо реализовать контроль доступа юзера к файловым ресурсам: перехватить каждую операцию, отправить сервису, который в соответствии с заданными правилами, пришлет драйверу ответ "разрешено" или "запрещено"

ok, если вопрос только в блокировке, то да, IRP_MJ_CREATE в большинстве случаев будет достаточно.