Bloquear "Installar Programas"

[diegors]

Y la contraseña de administrador la saben? dejando de lado que obviamente no debe ser vacia, Fijate tambien que no esten en el grupo de Administradores del dominio (si es que hay uno).
Te aconsejo poner entre internet y tu lan un firewall y un proxy.
De esta manera, evitaras que utilicen programas de intercambio de archivos y de paso, hacer un seguimiento de los sitios que visitan tus usuarios.

Edit:

Si no les avisaste por escrito en forma fehaciente que podrias llegar a monitorear la red, el proxy no te va a ser de ayuda, porque podrias estar invadiendo su privacidad.
El firewall en cambio puede ir tranquilamente y bloquear todo, excepto los puertos 25 (enviar correo), 110 (recibir correo) y 80 (internet). Todo el resto, dejaria de funcionar.