हालांकि, कई सूचना सुरक्षा जोखिमों को तकनीकी नियंत्रण के साथ पर्याप्त रूप से कम नहीं किया जा सकता है क्योंकि वे उपयोगकर्ता के व्यवहार का एक कार्य हैं।
क्योंकि वे उपयोगकर्ता के व्यवहार का एक कार्य हैं, कई सूचना सुरक्षा जोखिमों को तकनीकी नियंत्रण के साथ पर्याप्त रूप से कम नहीं किया जा सकता है।