Sin embargo, muchos riesgos de seguridad de la información no pueden mitigarse adecuadamente con controles técnicos porque son una función de comportamiento del usuario.
Para minimizar los riesgos de seguridad de la información que son una función de comportamiento del usuario, los usuarios deben ser entrenados en prácticas de seguridad de la información.