1. Linux - если сможете настроить 1С, плагины ЕЦП итд;
2. Windows
- Антивирус
- AdBlock
- Яндекс.DNS в режиме "Семейный" на все устройства бух., до которых сможете дотянуться
- Права юзера + отдельно админа + объяснить бух., что пароль админа не давать никому, иначе вирусы
- Запуск .exe только из определённых папок групповыми политиками

Выше на картинке звёздочка запрещает запуск exe отовсюду.
Руками отдельно прописываете папки, где запуск exe возможен: Program Files, Windows, Downloads итд
- Настраиваете автоматические инкрементальные бэкапы каждый день. Veeam в помощь.