V>сделать системный диск read-only для процессов, работающих под определённым user'ом.

Драйвер-фильтр файловой системы решит твою проблему, но не понятно, почему ACL не подходит.

V>Способ установки ACL/DACL ... не даёт гарантии по разным причинам.

Конкретнее.