Надо запретить программисту выгружать конфигурацию, но оставить возможность редактировать ее.

такой возможности нет

не надо

(0) стойте за спиной всё время, чтобы не выгрузил.

(0) Пусть пишет изменения на бумаге, а особо доверенное лицо будет уже менять конфу. Других вариантов нет.

а если базу развернуть в терминале без интернета и папки exchange?)

(5) типовая БП позволяет выгрузить конфигурацию из предприятия.

(6) это здесь при чём?)
если задача запретить программист выгружать и пытаться унести с собой, то это одно. а так (1)

(0) запретить выгрузить вариантов нет. А вот запереть спереть легко. Для этого он кодить должен в терминале на ВМ в DMZ. Терминальный коннект к ВМ - через шлюз, у которого все галки повыключены про подключение устройств. Без интернетов внутри ВМ. Специалиста, короче, нужно пригласить по системному администрированию