Смотри, для выставления загрузки с винта в сетапе

Смотри, для выставления загрузки с винта в сетапе надо иметь локальный доступ к машине. Для перепрошивки биоса локальный доступ к машине не обязателен. Т.е. админ может в какой-то своей тулзе запретить всем юзерам загрузку со всего кроме винта по сети, например.

Подсунуть другой винт -- не проблема. Но для этого надо открывать системник и знать, что ты делаешь (хотя бы минимально). Большенство людей на это просто не пойдёт. Кроме того -- если системники опломбированы как-то радикально (амбарным замком, например), то такой запрет почти наверняка гарантирует, что юзер будет пользоваться сугубо тем, что у него на компе есть.

Ну и да. У меня какой-то фейл получился с редактированием менюшек в биосе.