Mange informasjonssikkerhetsrisikoer kan imidlertid ikke reduseres tilstrekkelig med tekniske kontroller fordi de er en funksjon av brukeradferd.
Det finnes ingen informasjonssikkerhetsrisikoer som ikke kan reduseres tilstrekkelig med teknisk kontroll.