Ну вы уж сами решайте: то ли ставить "обрезающий" софт (проксики/фаерволы), то ли "обрезать" права юзеров на установку программ и изменение настроек. "Резать софтом" можно, например, не обязательно по портам, но и по протоколам (http/https/ftp/pop3/smtp и т.п.).