C# 会话时间过长可能存在的风险？

我正在IIS 7.5上运行ASP.NET 4.0应用程序。我的客户希望使用类似于桌面应用程序的应用程序，并且不希望每20分钟登录一次（不活动后）。我的客户希望会话设置为8小时，只在早上登录应用程序，离开办公室时注销。我的问题是，什么样的风险与此相关（性能、安全性）。应用程序的工作负载不高，最多有30个用户同时登录。我真的找不到关于这个的任何信息

后续问题。。。如果没有风险，我的变更地点如下

<forms name="x" loginUrl="~/Default.aspx" protection="All" timeout="480" path="/" />
<sessionState timeout="490" />

我的应用程序池的高级设置中的空闲时间（不活动）

---

我错过了什么吗？

这是在内部网络上运行的吗？也许使用windows身份验证？会话保持简短，但身份验证发生在会话后面scenes@Liath. 这是在网络上运行的。