Оптимально, как мне кажется - жесткое ограничение системы по правам (и сети по ВЛАНам).
+ перезаливка эталонных образов систем каждую чверть/семестр (такой подход практикуется на платформах ,которые проводят курсы).
Всегда найдется тот, кто обойдет запрет.
Основная задача - не дать навредить кому-либо, кроме себя, и оперативно устранить "брешь", вовремя поправив групповые политики.
*сугубо мое ИМХО, конечно )
