Системное администрирование, подскажите как правильно настроить ОС в офисе для сотрудников

Как правильно настроить пользователей на виндовс 10, для малограмотных людей в сфере информационных технологий.
Работаю молодым сис админом в подчинении более 30 компов разбитые на 2 сети, защищенная и открытая. заметил что кроме устаревшего по всем меркам железа 2010 годов есть проблемы с ОС, а именно захламлённые С: диски. куча важных документов сохранённых прямо на рабочем столе, и проституция с флешками ( таскают их откуда только могут, из дома, с работы где подрабатывают, сын друга отца попросил распечатать доклад ) .
Хочу по тихому сносить Ос и настраивать им ограниченный по функционалу доступ, прожжённые самовары системного администрирования, подскажите как правильно это сделать, дабы не мешать людям работать в офисных программах ( 1с, офис, парус, консультант +, и пару VPN сервисов - минфин и континет АП) но при этом обезопасить саму технику от их неосторожного поведения.
Так же хотел бы уточнить можно ли как то ограничить разрешения на USB устройства, сделав исключения для некоторый флешек. Это связанно с ЭП и сертификатами которые находиться на внешних накопителях.
вообще хотелось бы побольше узнать о правильном и грамотном системном администрирование что быть более уверенным в конфронтации с женщинами, парируя их утверждения что мы и так 20 лет так работаем и нам норм, а твои нововведения все туфта и усложняет процессы.
Большое спасибо