не надо проводить с юзерами профилактическую работу на тему не запускать файлы с инета или флешки без проверки антивирусом, следить за обновлениями и сообщениями антивируса и/или фаервола.
В виндах это все отлично автоматизируется, а с флешками... забрать права админа и отрубить автозапуски, очень добавляет отказоустойчивость. Да и вообще отъем прав админа добавляет отказоустойчивость, в купе с грамотно настроенными GPO и централизованным хранилищем бекапов, перемещаемыми профилями, вообще отказоустойчивость приближается к максимуму