हालांकि, कई सूचना सुरक्षा जोखिमों को तकनीकी नियंत्रण के साथ पर्याप्त रूप से कम नहीं किया जा सकता है क्योंकि वे उपयोगकर्ता के व्यवहार का एक कार्य हैं।
सूचना सुरक्षा जोखिमों को कम करने के लिए जो उपयोगकर्ता के व्यवहार का एक कार्य है, उपयोगकर्ताओं को सूचना सुरक्षा प्रथाओं में प्रशिक्षित किया जाना चाहिए।