все так но можно проще
исходим из того утверждения что пока система запущена она может сама защищаться от воторжения, но когда ее выключили и шарятся по фойловой системе то там не возможно что то найти. и следовательно это должен быть действительно апаратный сервер( на вдс можно залесть даже в рабочем состоянии) но вот зашиффровать нужно только саму папку TSLab. и не Bitlocker`ом, есть средства которые штаты запретили из-зи несговорчивости.
далее просто бекапим на стоящий дома ftp и каждый месяц мняем пароли(нельзя это игнорировать). это позволяет не пользоваться узким местом - KVM и тд портами.