Надо вход в Биос ещё заблокировать. Иначе загрузочная флешка с установленной операционной и все. Сам так делал когда-то. Ноут был в домене и заблочено было вообще все.