Можете у своего интернет-провайдера уточнить, возможно ли это.
У Ростелекома, например, такая услуга точно есть - блокировка сайтов будет на уровне сети, и работник никак не сможет её обойти (только если с телефона)
Правильная настройка безопасности браузера (белый/чёрный список) и файрвола (список приложений, которым разрешено гулять в Инет). Правильная настройка локальных политик безопасности.
Ну и, само собой, учётная запись не должна иметь избыточных прав - и особенно должна не быть членом группы локальных администраторов.
John Smith, Блокировка сменных носителей, отобрать права на запись всюду кроме профиля. Но вообще это не техническая задача. Это задача административная, решается она установкой СМП и выдачей люлей за первый косяк. Или же еще проще - установкой СМП и запуск его с табличкой "Работает наблюдение" (по умолчанию нормальный СМП никак не анонит себя). Человеку свойственно щемиться, когда он знает, что "сверху" висит камера.