BIOSで無効の上、BIOSにパスワードロックで完璧だと思うけど、
面倒だろうからポリシーでやるべきじゃ?