Esto es más una cuestión de productividad que de seguridad. Si desea la mejor seguridad posible, entonces sí, el bloqueo de las cuentas de usuario lo conseguirá. Sin embargo, el bloqueo de las cuentas de desarrollador se interpondrá en su camino. Por ejemplo, parece que tienes todo lo que requerirán , pero ¿qué pasa con:
- Navegadores preferidos
- Clientes de correo electrónico preferidos
- Clientes de chat preferidos (si corresponde)
- editores de texto
- Otras herramientas (grep, Python, Wireshark, etc.)
Sus opciones aquí son:
- No contrate a nadie a quien no le gusten sus herramientas preferidas (y pierda buen talento).
- Contrata a esas personas, pero no les permitas usar sus herramientas preferidas (y pierden productividad y moral).
- Dedique su tiempo a investigar todas las herramientas que deseen sus desarrolladores (perder su propio tiempo y, potencialmente, bloquear el trabajo de sus desarrolladores hasta que lo haga).
- Instale las herramientas que deseen sus desarrolladores (haciendo que esta política no tenga sentido).
Tenga en cuenta que estos no son usuarios generales (analfabetos informáticos). Está hablando de tratar a las personas que escriben software como si no entendieran nada acerca de las computadoras o la seguridad. Si no puede confiar en que sus desarrolladores no instalen virus en sus computadoras, ¿por qué confía en que escriban software?
Vale la pena mencionar que no quiere que nadie trabaje como superusuario, solo quiere que tenga acceso a las herramientas de administrador. Entonces, en Linux, sus desarrolladores deberían tener el permiso sudo , pero obviamente no deberían estar registrados como root. En Windows, sus desarrolladores deberán ser administradores, pero UAC puede solicitarlos antes de hacer cualquier cosa que requiera acceso de administrador.