Ti conviene impostare comunque un Session.Timeout abbastanza breve, diciamo 10 minuti.
Anche se non sarà molto contento di trovare
"La tua sessione è scaduta"
mentre magari sta ancora navigando nel sito.....