Чтобы "защитить рабочие компьютеры и тратить меньше на техподдержку" надо просто брать тачки компании на букву А, что-то я не видел ни разу массовых случаев шифровальщиков-вымогателей на них.