Beveiligingsexperts en bedrijven hebben al gauw de neiging om thuisgebruikers de schuld te geven omdat ze hun systemen niet patchen, slechte wachtwoorden kiezen en in phishingaanvallen trappen. Volgens beveiligingsgoeroe Bruce Schneier is het zinloos om je op deze groep te richten, aangezien ze altijd een voorname bron van beveiligingsproblemen zijn en zullen blijven. Mensen doen vaak niet de dingen die ze zouden moeten doen, zoals het vervangen van de olie, bezoeken van de tandarts of het vervangen van de batterijen in hun rookmelder.

"Waarom? Omdat mensen leren uit ervaring. Als iets meteen pijn doet, zoals het aanraken van een hete kachel of het aaien van een wilde tijger, dan leren ze dat snel genoeg af. Als iemand vergeet de olie te vervangen, een patch te installeren of een slecht wachtwoord kiest, maakt dit niets uit. Geen feedback, geen geleerde les."

Ondanks tips voor mensen om na elke 5000 kilometer hun olie te vervangen of het maken van veilige wachtwoorden, zijn de gevolgen als men de adviezen negeert niet meteen voelbaar. En dat maakt beveiliging een belemmering voor de gebruiker. Het is een terugkerend obstakel dat het gebruik van bijvoorbeeld de computer in de weg zit. "Het zit in onze natuur om terugkerende obstakels te verwijderen. Als de gevolgen van het omzeilen van de beveiliging niet duidelijk zijn, zullen mensen dit natuurlijk doen," aldus Schneier.

User Account Control
Als voorbeeld noemt hij Microsoft's User Account Control (UAC) in Windows Vista. De pop-ups verschijnen zo vaak en negeren ervan heeft zelden kwalijke gevolgen, waardoor mensen ze negeren. "Dit betekent niet dat het onderwijzen van gebruikers waardeloos is. Onderwijs vormt een belangrijk onderdeel van elk zakelijk beveiligingsprogramma. En hoe meer mensen thuis beveiligingsdreigingen en hacker tactieken begrijpen, hoe veiliger hun systemen zullen zijn, maar we moeten ook de beperkingen van educatie erkennen."

Volgens Schneier is de oplossing om veiligere systemen te ontwerpen die van onopgevoede gebruikers uitgaan, en voorkomen dat gebruikers hun instellingen kunnen wijzigen. "Of nog beter, de beveiliging helemaal uit hun handen nemen."

Het beschuldigen van gebruikers levert bedrijven echter geld op, zoals Britse banken die geld besparen door slachtoffers van pinpasfraude de schuld te geven of telecomaanbieders die klanten rekeningen sturen als hun betaalkaart is gestolen en misbruikt. "Het juridische systeem moet de zakelijk problemen oplossen, maar systeemontwerpers moeten aan de technische problemen werken. Ze moeten accepteren dat security systemen die van de gebruiker verwachten dat hij het juiste doet, gedoemd zijn om te falen."