for å minimere informasjonssikkerhetsrisici som er en funksjon av brukeradferd, må brukerne trenes i informasjonssikkerhetspraksis
fordi de er en funksjon av brukeradferd, kan mange informasjonssikkerhetsrisikoer ikke reduseres tilstrekkelig med tekniske kontroller
det finnes ingen informasjonssikkerhetsrisikoer som ikke kan reduseres tilstrekkelig med teknisk kontroll