Am einfachsten ist es, ausschließlich die Hostserver nicht mehr zu starten (ausser *CENTRAL).
Das selbe gilt auch für bestimmte TCP-Dienste (z.B. FTP).

Zusätzlich sind am Besten alle Userprofile zu entfernen oder zu deaktivieren.

Für Admins kann der Zugriff über den Systemwert QLMTSECOFR aktiviert werden (User mit *ALLOBJ/*SERVICE).
Ist dieser Wert aktiviert, kann man sich nur noch an Terminals anmelden, an deren Objekt der User explizit eingetragen ist.