Я в таких случаях использую GPO + Simantec Endpoit Protection. Последний кроме хорошего антивиря предоставляет огромные возможности по ограничению доступа к различным устройствам