A prescindere da returnil č consigliabile adottare un account limitato.
I file di sistema e le cartelle di sistema su C non possono essere toccate con quello
.
Se hai la versione Professional puoi anche vincolare la quota di spazio su disco cosė da evitare che te lo riempino di monnezza.
Usando IE come browser puoi configurare l'eventuale blocco dei download
.
Volendo puoi anche configurare l'advanced firewall per far comunicare verso internet solo le applicazioni che vuoi te, ed impostare delle policy per permettere gli eseguibili solo in alcune zone del sistema (ad esempio le cartelle programmi).
MS aveva introdotto la questione dell'account Guest temporaneo nella versione beta di 7, ma poi l'hanno rimosso.
Comunque volendo credo tu possa simulare una cosa del genere con uno script al logon dell'utente, magari sfruttando un RAMDisk come cartella di profilo
.
Se ho un po' di tempo dopo la tesi scrivo una piccola guida per blindare Windows
.