Из windows получается плохой kiosk mode (это то что вам нужно), там мест где можно вылезти из песочницы миллион, отличный пример - просмотрщик документации сделан на основе internet explorer, помню через окно помощи к приложениям помощи слабовидящим запускали проводник и любой софт на окне авторизации (с правами system само собой), ну или к примеру переход через печать выделения, стандартный диалог принтера, поиск принтера, откроет проводник, с возможностью запустить любое приложение.
Т.е. очень сильно все будет зависеть, что за софт у вас запущен.
Технически в windows есть возможность делать белые и черные списки приложений, и к примеру запретить не подписанное по, но требовать это будет максимальные ревизии windows, домен контроллер и т.п., красивого решения нет.
p.s. тут где то пробегал вопрос, о какой то железке то ли игровая приставка то ли железка для одного приложения, на windows, но на столько покореженной, что вылезти куда либо невозможно... так вот там это достигалось путем удаления и подмены файлов,.. явно не штатный способ, так как любое обновление вернет все назад.