極端なやり方だけどFireWall(できればシステム標準以外の)でインターネットの
受信と送信を全て禁止にしたうえで、「svchost.exe」のポート「123」と「53」と
インターネットにアクセスするアプリ(例えばブラウザー)のポートだけ送信を
許可しておけばテレメトリも送信されないし、自動更新も状況が確認されないので
一切実行されないよ

あ、ブラウザーはIEとEdgeを避けたほうが良いかな
あと標準ウィルスチェッカーの定義ファイルを更新したい場合には「msmpeng.exe」の
ポート「443」の送信を許可しておけばシステムの更新は行われないけどウィルス
チェッカーの定義ファイルのみ自動で更新される

WindowsUpdateによる更新は一切行えなくなるので、ドライバとかシステムの更新は
すべて手動で行う必要があるけどね