EFS достаточно надежен и прост,но для применения надо немного подготовиться.
1)Назначить агента восстановления для домена(т.к не стоит использовать доменного администратора).
2)Сгенерировать для него ключ и импиртировать в AD.
3)Экспортировать ключ на носитель и удалить ключи(при расшифровки импортируем ключ и расшифровываем).
4)Если пользователи загружают профиль с сервера,то настроить IPSEC.
5)Зашифровать TEMP.
6)Если требуется повышенная безопасность,то объяснить пользователям что надо экспортировать свои сертификаты на носитель и применять в системе при работе с файлами,в остальном случае удалить сертификат.

Если у пользователя есть сертификат,то при переносе на FAT аттрибут шифрования снимается.Если просто копирование скажем с Live-cd,то файл будет зашифрован.