Можно сделать практически встроенными сресдтвами Windows:
1)Все должны работать под ограниченой учетной записью.
2)Установить SP3+post updates
3)У каждой школы есть набор ПО в которое входит Контент Фильтр им ограничить доступ к web части.
4)Ограничение программ сделать через Политики ограниченного использования программ. Здесь и начинаются сложности в настройке,если придерживаться первого пункта ,то у пользователя не должно быть папок в которые он может писать и запускать приложение,это сразу сводит применение политики SRP на нет.
Должно быть четкое структурирование файловой системы ,а в вашем случае достаточно будет разрешить использование Program Files и Windows ,исключая папку Temp и ограничение на папку с запланироваными заданиями,и spool.Политика по умолчанию должна быть все запрещено,кроме явного разрешения(White list).

Подробнее можно прочитать http://technet.microsoft.com/en-us/library/bb457006.aspx

SRP - достаточно сложна и во многих случаях не безопасна с настройками по умолчанию.Поэтому надо отнестить серьезно к ней.Тем более на не пропатченой системе есть дыры в самой SRP.Так же политику нельзя экпортировать ,поэтому на каждом компьютере придеться создавать вручную,кроме доменой среды.