hint000

Возможно, как-то через биос

Да.
https://www.google.com/search?q=bios+пароль
Только его легко сбросить, вытащив батарейку из материнской платы. Так что вам нужно ещё купить небольшой навесной замок и запирать корпус.

некоторые теперь хотят «погулять» на халяву

Есть вероятность, что если жадничать, то сделают пакость вашему новому железу. Так что следующий шаг - видеонаблюдение с подключением ГБР. :) Решать вам.

Для этого ПК нужно подключить через IP-KVM.
Стоимость IP-KVM сопоставима со стоимостью ПК.
Существуют десктопные материнские платы с IPMI, но они очень дорогие и очень редкие.

При такой схеме подключения - никак. Ну разве что после каждого подключения вы будете своими руками устанавливать антивирусный\антишпионский сканер и проводить полное сканирование системы, только после этого начинать работу. И даже это не даст 100% гарантию.
Хотите гарантий - меняйте схему работы.

Простой вариант: после каждого такого подключения срочно меняйте пароль.

стоит ли ради всего этого параноить, я ж не министр какой-то

Паранойя - обязанность системных администраторов и инфобезопасников. Министры не пранойят, им как раз пофиг.
За министров могут подумать многочисленные заместители, советники, секретари, помощники, секретари заместителей и помощники советников... А тот, кто пока еще не министр, должен думать самостоятельно. :)

Вот я сисадмин, у меня паранойя среднего уровня. Я никогда не использовал менеджеры паролей и не собираюсь использовать. И мне пофиг, в облаке база или локальная. Просто нет и всё, потому что паранойя.