Для сервера средствами winbackup можно сделать загрузочный cd и бекап на внешнем диске для восстановления в случае выхода из строя железа.
Это делается один раз и эти два диска убираются в сейф.
Нужно делать еще и регулярный бекап, который будет развернут на то, что восстановится с тех дисков.
Если будет домен, можно перенаправить папки с профилем пользователя (рабочий стол, документы и пр.) на сервер, который будет бекапиться.
Какие-то особенные компьютеры можно бекапить на прицепленный внешний диск, например, тем же бесплатным Veeam, но он должен работать под учетной записью админа и пользователю туда должно быть запрещено, иначе первый же шифратор все грохнет. Делается по такому же принципу - флешку для загрузки, которая с внешнего диска потом все восстановит.
И хранилище бекапов должно быть по тому же принципу ограничено в доступе.
Насчет домена - найдите опытного айтишника, чтобы он настроил один раз и многие проблемы с безопасностью решатся)
И, конечно, нужно делать бекап на носитель, который находится вне офиса или в облако - это спасет от потопа, пожара, масок-шоу... Например, klsbackup умеет бекапить в Onedrive...