Ayuda en definicion de seguridad de cuentas de usuarios

Estimados,
Me piden proponer algunas directrices para la implementacion de
seguridad para las cuentas que se conectan en todo el dominio. Algunas ya
las tengo mas o menos definidas pero otras me gustaria que me pudieran
ayudar para definirlas y en lo posible si tienen algun link que pueda
presentar como una base de las mejores practicas. Algunas de las
definiciones son dificiles de implementar asi que si pudieran decirme como?
Las definiciones son las siguientes:

1.- Numero maximos de intentos fallidos de conexion.
Se define un maximo de 3 conexiones fallidas. Al bloquearse la
cuenta se debe llamar al grupo de soporte para el desbloqueo.

2.- Duracion de las password para las cuentas
Se define que la vida maxima de las password es de 35 dias.

3.- Tamaño de las password.
Se define que el largo minimo de las password es de 8
caracteres y deben contener obligatoriamente numeros, caracteres alfabeticos
y caracteres especiales. Aqui tengo un problema con cuentas genericas. que
hacer con ellas?

4.- Numero de contraseñas recordadas.
Se define que las contraseñas recordadas son de 30.

5.- Tiempo de inactividad de la sesion del usuario.
Se define como 20 minutos este tiempo. Aqui tengo el
problema de que cosa realizar con la sesion del usuario, desconectarlo del
dominio o que aparezca el screen saver con proteccion de clave?. Ademas
tengo la duda que pasa con mis usuarios de Terminal Server(TS) a los cuales
por politicas se les deshabilito los screen saver.

6.- Limite de conexiones por usuario.
Cual es la mejor opcion?. Se puede definir una sola
conexion(logon) con la cuenta? Se que puedo asociar la cuenta del usuario a
su pc, pero tengo usuarios en sucursales que no tienen pc's fijos, como
implementar esta politica o algo mejor que se les ocurra.

Estoy tratando de proponer una equilibrada relacion entre seguridad y
operacion, de forma tal que la operacion diaria de mis usuarios no sea
demasiado restrictiva de forma tal que no generen una sobrecarga a la mesa
de ayuda.

gracias por cualquier ayuda.
Daniel