I malware ed i virus si installano se tu glielo consenti, perchè girano con i permessi di chi è loggato. Se ti logghi come amministratore...
Stessa cosa per l'accesso diretto. Stabilisci policies di sicurezza che permettano l'accesso al pc solo agli utenti autenticati e solo da locale, elimina i permessi dell'account Everyone, disabilita la modifica del registry da remoto, la teleassistenza, i servizi non necessari, ecc...
Pur avendolo a disposizione per lavoro (come tutte le altre versioni) non ho installato 7 da nessuna parte, ma se è più o meno come Win 2008 server che uso sul laptop, molte impostazioni sono già "chiuse" di default, ma è meglio verificare.