[Delirium]

Чуть чуть добавлю:
1. Из антивирусов по части управления удобен Kaspersky, за 3 года полета - никаких нареканий.
2. Если будет стоять централизованный прокси сервер, через который пользователи будут ходить в интернет, то брандмауэр особо не нужен на клиентах. ДОстаточно будет настроить прокси и вовремя устанавливать заплатки на рабочие станции, в частности от Kido
3. Политику лучше применять и на пользователей и на компьютеры, все зависит, как уже сказал Ivan Bardeen, от специфики сети и ПО на станциях.