Atualmente nas Políticas do Endpoint Protection Cloud podemos possibilitar aos usuários de determinada política/grupo desativarem o antivírus, porém penso que deveria haver a possibilidade de habilitarmos este recurso porém a desativação seria possível somente mediante o uso de uma senha, tal como é na versão on-promise. A senha deveria ser diferente da senha de desinstalação do agente.
Se possível, favor criarem um pedido de ajuste na ferramenta.