чтобы вот этого всего не было. покупаются ноутбуки для сотрудников в качестве рабочего компа, который сотрудник может взять с собой и работать из дома

на самом деле, если знать как варить правильно, рдп наружу вообще не проблема.
для себя гайд составил:
1. накатываем обновку последнюю стабильную на винсервер (винсервер минимум 2016, а так лучше 2019+)
2.меняем логины и пароли на сложные (не только пароли, но и логины). user/@ser123 или administrator/@dmin123+- не подойдут, слишком легкие
3. настраиваем шифрование rdp и проверку подлинности на уровне сети (обязательно) в политиках
3. меняем порт со стандартного 3389 на кастомный
4. ставим софт от брутфорса (rdpguard 6.7.5/ipban, или их аналоги) ни в коем случае не выключаем встроенный фаер и uac
5. юзаем remoteapp, а не rdp
6. не раздаём юзерам админские права.
7. настраиваем бэкапы в несколько мест (Effector Saver/Iperius Backup или их аналоги) на другой комп по сети (сбор из шары по онли админской учётке в нерасшаренный комп в изолированной сети) + в облако, бэкапы обязательно должны быть в шифрованном парольном архиве.

тут все зависит от того, куда это ставится и в каком количестве.
ибо если это в дом на пару компов, то там смысла нет заморачиваться.
а вот ежели это организация с приличным парком компов, то там однозначно нужна доменная структура и антивирь кастомный, причем не обычная версия, а именно бизнес решение с централизованным развертыванием и управлением