Хотелось бы выстроить групповую политику, применяемую к пользователям локальной сети, примерно следующим образом: исходя из принципа "презумпции виновности" ("запрещено все, что не разрешено").

Цель - сделать безопасную сетку (WinXP, WinServer 2003).

Подскажите - как оптимально это сделать? существуют ли готовые решения, шаблоны, стандарты?

Что вообще принято запрещать пользователям?

Ознакомьтесь для начала с разделом, посвященном шаблонам безопасности.

Руководство по безопасности Windows Server 2003

Защита серверов с помощью шаблонов безопасностиЗащита серверов с помощью шаблонов безопасности

Возможно, подойдет следующее решение - импорт и редактура шаблона "повышенной безопасности".

Пример. Windows XP, импорт шаблона:
Пуск-выполнить-mmc-консоль-добавить или удалить оснастку-добавить-выбираем шаблон безопасности.