Veel risico's op informatiebeveiliging kunnen echter niet voldoende worden gematigd met technische controles omdat ze een functie zijn van het gebruikersgedrag.
Omdat deze een functie zijn van het gebruikersgedrag, kunnen veel informatiebeveiligingsrisico's niet voldoende worden gematigd met technische controles.