Если есть домен, то групповыми политиками везде отключаешь локального админа и все учётки у тебя должны быть обычным "Пользователем", если домена нет - админа оставляешь с паролем а школьникам делаешь учетки без админ прав, сайты с игорами и т.п. блокируешь dns'сом