Todo depende de lo que se necesite para el sistema y el usuario por supuesto.
Y yo en lo que me basaba desde el principio es en lo que dijo ANTRUCK de...
No abra un programa por acá o por ahí que sirva para blockear el registro de windows, osea que nada pueda modificar nada del registro sin que ante aparezca un cartel o advertencia en la pantalla diciendo que dichos programas o aplicación obtendrá acceso al registro ?
y de ahi aceptar o no, que lo cambie.... sin ir a directivas de grupo.
Pero bueno yo doy mi opinion, ya lo que vea cada uno que es mejor o que es lo que necesita exactamente... ahi queda