Mange informasjonssikkerhetsrisikoer kan imidlertid ikke reduseres tilstrekkelig med tekniske kontroller fordi de er en funksjon av brukeradferd.
For å minimere informasjonssikkerhetsrisici som er en funksjon av brukeradferd, må brukerne trenes i informasjonssikkerhetspraksis.