El único tipo de rastreo disponible en Windows es el Evento de Windows, al que se puede acceder desde el Visor de Eventos de Windows , como se muestra a continuación:
Desgraciadamente, no he podido encontrar (sospecho que cualquiera lo haría) ningún evento específico relacionado con tu problema (copias de archivos no autorizadas a unidades flash).
Estoy casi seguro de que no podrá encontrar si alguien ya hizo una copia de archivos no autorizada desde su sistema, pero podría enumerar dos aplicaciones que ayudarían a encontrar si alguien intenta lo mismo en el futuro:
DiskMon es una aplicación que registra y muestra toda la actividad del disco duro en un sistema Windows. También puede minimizar DiskMon a la bandeja del sistema, donde actúa como una luz de disco, presentando un icono verde cuando hay actividad de lectura de disco y un icono rojo cuando hay actividad de escritura de disco.
Es una herramienta de análisis del comportamiento de las aplicaciones para la familia de sistemas operativos Win32. Capture BAT es capaz de monitorizar el estado de un sistema durante la ejecución de las aplicaciones y el procesamiento de los documentos, lo que proporciona al analista información sobre el funcionamiento del software aunque no se disponga del código fuente. Capture BAT supervisa los cambios de estado en un nivel bajo del kernel y puede utilizarse fácilmente en varias versiones y configuraciones del sistema operativo Win32. CaptureBAT está desarrollado y mantenido por Christian Seifert, del capítulo de NZ.
Adicionalmente, te recomendaría utilizar algún tipo de criptografía en tu disco para proteger tus archivos de este tipo de problemas. Echa un vistazo al software Truecrypt .
Espero que esta información te ayude de alguna manera.