ДБА сократить как должность.
Админа способного работать с групповыми политиками - уволить.
Взять падавана на маленькую зарплату (это проверочный способ отсечь нормальных). Оптимально - племянника того самого человека, который это придумал.

Сервер поставить в отдельную комнату. Комнату экранировать. Обязательно сделать гальваническую развязку по питанию. То есть комната должна запитываться от источника бесперебойного питания с полной конвертацией.
Подлючения к локальной и вообще сети не должно быть. Вход через "стакан" - это такая вращающаяся дверь, пропускающая за раз только одного человека. При попадании внутрь - дверь блокирется и нужно пройти авторизацию. Сетчатка глаза и отпечатки пальцев подойдут.
Если есть необходимость передавать данные переносить на внешних устройствах - дисках.
Это не шутка - реальное устройство безопастности в крупной государственной организации. В какой не скажу.

Да, чуть не забыл, в 80 годах, в конце эпохи КГБ еще было требование при покидании комнаты обеспечивать ДВА видимых разрыва питания. Сейчас проще, у компьютеров шнуры питания имеют разъемы как на стороне розетки, так и на стороне компьютера. Потому шнур питания вынять и забрать с собой. Тогда было сложнее, питание было жестко встроено в приборы. И ночью начальник безопастности ходил и перерезал провод. Потому вся техника утром скручивалась и моталась изолентой. Это не шутка. Реальная история с "почтового ящика" из сферы влияния КГБ.