1)Включаем Audit Object Access (http://technet.microsoft.com/en-us/library/cc787268(WS.10).aspx)

2)Через скрипт http://technet.microsoft.com/en-us/library/cc772995(WS.10).aspx парсим события Event ID 560 (Если есть Powershell то CmdLet Get-Event,Get-EventLog и так же парсим на событие журнал Security)

3)Пишешь бат(скрипт Powershell,vbs и т.д) ,который считает количество event id и делает какие либо действия на файлом.