Was die erste Frage betrifft: Es gibt durchaus Möglichkeiten, das abzusichern. Die Standardtechnologie ist 802.1x, und sicher auch ein paar andere, proprietäre Ansätze.

Die Idee ist, dass sich das Gerät beim Switch anmelden muss, bevor der Port tatsächlich aktiviert wird. Dies kann mit Benutzername/Passwort oder Zertifikaten passieren.

Zusätzlich dazu kann anhand der Zugangsdaten eine Zuordnung in ein virtuelles LAN erfolgen. Das bewirkt, dass die Drucker in der Werkshalle in einem anderen Netz landen wie die Produktionsmaschinen.

Außerdem können über den Switch "Access Control Lists" verteilt werden. Damit wird eine noch granularere Steuerung möglich, z.B. dass die Drucker nur mit dem Druckserver kommunizieren können, aber sonst nicht.

All das hilft halt relativ wenig, wenn ein PC mit Logindaten so herumsteht, dass der Eindringling einfach hingehen kann.