как запретить запуск всех программ, кроме...

запрет установки - вытащить сд ромы из компов, отключить и демонтировать usb,
если люди знают как отключить админский пароль - значит они знаю ваш пароль...

Политики безопасности применяй при входе как Администратор, люди знающие - естественно не должны иметь админских прав.
secpol.msc
gpedit.msc

WinGuard позволяет заблокировать доступ к любым программам, окнам, файлам и папкам. Кроме этого, с её помощью можно установить защиту практически на каждый элемент операционной системы, в том числе на рабочий стол и папку Мой Компьютер, закрыть доступ в Интернет, запретить установку/удаление ПО и запуск консоли, заблокировать Панель управления, Internet Explorer или полностью компьютер. Поддерживается многопользовательское использование с индивидуальными настройками для каждого пользователя.
Скачать: http://www.hi-it.ru/component/option,com_docman/task,cat_view/gid,105/Itemid,173/

Честно, больной вопрос. В 1С файл открыть, открывают командную строку и погнали, и даже когда и это предусмотрели, и ЭКЗ-шники запоролили, появились игрушки и аськи и прочии написаные на 1С и С++, вот такие дела.

в локальных политиках безопасности создай правила в "политики ограниченного использования программ" запрети папки и ключи реестра на определенные программы для пользователей. ну и собственно убери доступ на пользовательские учетки во вкладке "безопасность". выставь атрибут "владелец" администратору на все папки кроме пользовательских.

может это поможет?
Пуск >Программы>Администрирование> Локальная политика безопасности.
>Параметры безопасности > Политики ограниченного использования программ.

пуск-выполнить- msconfig и нажми ок
там найди автозагрузка и удали ненужные галочки с ненужных программ автозапуска

Устанавливается, виндовс сервер. И настраивается в родительском контроле. Это самое можна сделать в висте, там предоставляется список, всех прог на компе, нужно только отметить галочками запрещенные.