Запретить пользователям устанавливать новые устройства(вообще), предварительно натроив все имеющиеся, убрать пишущие приводы из пк пользоваталей. Отключить вообще любые СОМ порты - по RS-232 тоже можно подключить модем и утянуть достаточно много, не обладая правами админа и не ставя никаких драйверов.
