Anwender sind da manchmal unglaublich kreativ um gewisse Regeln und Sicherheitsvorkehrungen zu umgehen ohne das ihnen bewusst ist was die da eventuell anrichten können.
Genau danach suchen die ganzen 'Bedrohungsakteure' ja oft als erstes. Glaub dafür gibt‘s sogar einen Begriff: "sozial Engineering"
Nur die Regeln und "Sicherheitsvorkehrungen" selber, die sind natürlich heilig.
Auf die Idee, die Angriffsoberfläche zu reduzieren, indem man die Regeln so fasst, dass der Anreiz sie zu brechen minimiert wird, kommt merkwürdigerweise nie jemand. Im zitierten Beispielfall: "... nur nicht für diese Abteilung freigegeben" - hier ist schon der Auslöser für den Fall zu finden.