Как настроить безопасное рабочее место для бухгалтера?

Хранение рабочей информации на компе пользователя -- это зло. Это я про базы 1С и их раздачу по сети. На рабочих станциях вообще должна быть остановлена и запрещена к запуску служба "Сервер". А также "Браузер сети". Вся информация должна храниться на серверах, на дисках, организованных в RAID-массивы. И вот уже туда должен быть доступ у всех, кому эта информация по долгу службы положена.

Пароль админа пользователю не давать -- это само собой.

Что касается безопасных настроек винды, то можно воспользоваться рекомендациями CIS: https://www.cisecurity.org/benchmark/microsoft_win...

Для скачивания PDF там нужно зарегиться, регистрация бесплатна и ни к чему не обязывает.

Резервное копирование -- в обязательном порядке. Причём на другой носитель, не внутри сервера или уж тем более -- рабочей станции.

Про белый список приложений вам уже сказали выше.

SSD 1 шт. (разделен на 2 логических под ОС и под базы 1С:Предприятие 8.3);

Зачем? Если конечно у вас огромный объем SSD так в принципе можно сделать, в иных случаях проще и надежней держать на одном диске?

Предполагаю настроить резервное копирование данных и баз с SSD на НЖМД

Это обязательно, однако помните что резервная копия должна хранится на другой машине. Т.е копия на другой диск, не является полноценным резервным копированием.
Кроме резервного копирования включите теневое копирование на томе с БД. Очень полезная штука.

с помощью secpol.msc настроить запрет на выполнение .bat .js .pif .scr .vbs .wsf.

Неплохо, но надежнее будет запретить запуск всех приложений кроме установленных, чтобы нельзя было запустить приложение размещенное в профиле пользователя.

Нормальное решение резервного копирования - настраиваете полное копирование системы и БД встроенными средствами Windows на HDD, плюс к этому копируете архив с БД и важные файлы на другой компьютер, NAS, или облако.
Резервное копирование лучше делать специально созданным для этого пользователем.
Права на запись в папку резервного копирования должны быть только у этого пользователя, у администратора их не должно быть ни в коем случае.

В общем так - точнее можно сказать, если знать что в вашем понимании безопасность. Защита от утечки данных, или защита от повреждения данных, или защита от простоев в работе.