Въпреки това, много рискове за информационната сигурност не могат да бъдат адекватно смекчени с технически контрол, тъй като те са функция на поведението на потребителя.
За да се сведат до минимум рисковете за информационната сигурност, които са функция на потребителското поведение, потребителите трябва да бъдат обучени в практиките за информационна сигурност.