Vorige week kwam een security bedrijf met de "onthulling" dat werknemers zich niet interesseren voor security. Forenzen in het financiele centrum van Londen kregen CD's uitgedeeld met een speciale Valentijnsdag aanbieding. De CD bevatte echter alleen maar code die doorgaf hoeveel mensen de CD hadden bekeken. Onder de slachtoffers bevonden zich een grote bank en twee verzekeraars.

De CD verpakking bevatte zelfs een waarschuwing waarin werd vermeld dat het installeren van third-party software in strijd met de gebruikersovereenkomst van het bedrijf kon zijn. Toch installeerde menig werknemer de CD via de kantoor PC.

Volgens Bruce Schneier is het naief om te concluderen dat het personeel niets om security geeft. Ze begrijpen het gewoon niet. Computer en netwerk security is gecompliceerd en verwarrend. Ben je geen "techie", dan voel je niet aan wat een security risico is. Erger nog, technologie verandert steeds sneller, waardoor het "security gevoel" van het personeel in korte tijd weer achter loopt.

Je kunt het personeel wel trainen, maar ook dit heeft z'n beperkingen. Natuurlijk kan een bank iedereen ontslaan die een ongeautoriseerde CD in z'n computer stopt, maar dat is niet goed voor het moraal, aldus Schneier.

In plaats van de schuld bij de gebruiker te leggen, kan men zich beter op de technologie richten. Waarom moet personeel bij een bank software kunnen installeren? Waarom blokkeert het systeem deze actie niet of informeert de IT-afdeling? Computers moeten veilig zijn, ongeacht wie er achter zit of wat er gedaan wordt.