A os direitos de acesso dos funcionários às informações e aos recursos de processamento devem ser retirados quando o funcionário for desligado, mas não precisam ser ajustados se o funcionário mudar de cargo.
B os proprietários de ativos devem analisar criticamente os direitos de acesso dos usuários em intervalos regulares.
C um processo de registro e cancelamento de usuário, mesmo que informal, deve ser implementado para permitir atribuição de direitos de acesso.
D os usuários recebam acesso às redes e aos serviços de redes que necessitarem e/ou quiserem utilizar.
E uma política de controle de acesso deve ser estabelecida, documentada e analisada criticamente, baseada apenas nos requisitos de segurança da informação.