По итогам два рабочих варианта: WMI и добавление запрета на чтение политики для указанного компьютера (настройки на вкладке Делегирование). Второй вариант может показаться более легким, но есть ложка дегтя - такая политика не отображается отклоненной в gpresult, могут возникнуть трудности с дебагом в будущем.
