Защита рабочих компьютеров: как не запретить лишнего?

Чтобы уменьшить поверхность атаки, можно заблокировать множество уязвимых функций ПО. Вопрос в том, как сделать это, создавая помех для бизнес-процесса.