Защита опубликованной базы 1С в IIS?

Появилась потребность в публикации 3-х баз 1с в сеть интернет (БГУ, зарплата бюджет, ДГУ все управляемые формы). Первые 2 базы важны в учете и пользователи работающие в базе через инет не будут иметь возможности проводить и ставить пометку на удаление. Только создавать, даже редактировать однажды записанные документ не будет возможности. 3 база - электронный документооборот. Значимость введенного документа там будет подтверждаться электронной подписью. Администраторам, а так же пользователям с полными правами так же будет запрещено запускать web клиент. Учетки "Администратор" и прочие привычные имеют абрукадабру даже в имени и в списке выбора пользователей они не видны. Опубликован только 80 порт из IIS, порты сервера 1С в инет не пробрасываются. Собственно остается всего одна возможная проблема - введение кучи новых документов. Есть ли возможность какая-нибудь дополнительно исключить и эту проблему. К примеру есть ли готовые скрипты анализа логов авторизации в 1С, чтобы при переборе пользователя автоматически отключало? Или скажем есть ли возможность в IIS (есть с Apache, но у меня с ним не срослось как-то) производить первичную авторизацию через сертификаты? Тем более они будут неотъемлемой частью работы в.
Я сразу подумал об OpenVPN, но... это и так не оплачиваемая нагрузка сверху, а еще и дополнительная возня с обслуживанием более пары сотен рабочих мест в не зоны моей ответственности...
Спрашиваю как админ. Наш 1С-ник в принципе успокаивает что нам с головой хватит и такой модели (он вообще собирался у всех оставить web-клиент, типа хватит и 6-ти значного пароля), но хочется все таки на всякий случай иметь еще хотя бы одну степень защиты на своей территории.
Есть попутный вопрос - компрометация IIS сервера как такового. Есть ли там подводные камни?
большое спасибо.