Tuy nhiên, nhiều rủi ro bảo mật thông tin không thể được giảm thiểu thỏa đáng bằng các biện pháp kiểm soát kỹ thuật vì chúng là một chức năng của hành vi người dùng.
Để giảm thiểu rủi ro bảo mật thông tin do hành vi của người dùng gây ra, người dùng phải được đào tạo về các biện pháp bảo mật thông tin.