हालांकि, कई सूचना सुरक्षा जोखिमों को तकनीकी नियंत्रण के साथ पर्याप्त रूप से कम नहीं किया जा सकता है क्योंकि वे उपयोगकर्ता के व्यवहार का एक कार्य हैं।
ऐसी कोई सूचना सुरक्षा जोखिम नहीं है जिसे तकनीकी नियंत्रण के साथ पर्याप्त रूप से कम नहीं किया जा सकता है।