Ob's immer am Admin liegt, naja. Man muss eben immer mit der Dummheit des Users rechnen. Und klar kann man ein Netzwerk soweit abriegeln, dass prinzipiell (für die 08/15 Dinger, nicht zielgerichtet entwickelte Schadsoftware [z. B. Natanz]) fast gar nichts mehr möglich ist (und selbst dann, siehe aktuell, keine echte Garantie) - aber das ist dann fast vollkommen unpraktikabel. Ich verrichte mein Tagwerk z. B. in einer IT Firma - würde ich da Rechte und Ports bis zum Gehtnichtmehr kastrieren, dann könnte ich mir eine Drehtür in's Büro einbauen.^^
Gleiches gilt auch privat: Jeder der schon mal ein "hochsicheres" "System" aufgesetzt hat, wird schnell merken, dass es hochgradig unpraktikabel ist bzw. der Aufwand oft den Zugewinn an Sicherheit schnell aufrisst.
Selbst wenn mal was mitgespiegelt wird - solange man weiß, was wie und wo, ist auch das kein Problem. Das ist's nur dann, wenn man es suchen muss.