Recentemente comecei a fazer isso em algumas máquinas no trabalho: Particionar o disco. Deixe tudo na partição C, exceto na pasta Documents and Settings, e talvez alguns outros, dependendo do software que você usa. Execute o Windows SteadyState Disk Protection na unidade C. Eu corro sem restrições, apenas a proteção do disco. Se o usuário recebe um vírus, um reinício deve eliminá-lo. Pior cenário é o usuário perde seus arquivos na unidade D.
Outra opção é configurar a máquina exatamente como você deseja. Faça uma imagem disso como EBGreen afirmou. Se a máquina for infectada por um vírus ou qualquer outra coisa, abra a imagem. Eu recomendaria talvez fazer uma nova imagem a cada mês ou trimestre ou qualquer outra coisa.
Outra opção é baixar o nlite e fazer sua própria instalação personalizada do Windows. Você pode atualizar drivers, atualizações, etc. Isso permite que você 'faça o seu próprio OEM'.