Если уж так параноится, то без ограничения на установку всего чего только можно не обойтись. Так же нужны ограничения на изменения настроек системы. Все реализуется через политики (локальные или доменные)