Mit Bordmitteln ( Script / Formel )ist das nicht möglich.
Im Client würde ich einen extension manager verwenden, der gegen eine Konfiguration prüft, ob dier Anhang mit einem bestimmten Namen von dem angemeldeten User geöffnet/gespeichert werden darf.
Im web kann man das mit einem DSAPI Filter abbilden.