A um usuário regular deve ter no mínimo acesso administrativo a tudo.
B usuários e clientes devem ter acesso ao mínimo de dados sensíveis e privilegiados.
C uma pessoa ou sistema deve receber apenas os privilégios e dados necessários para completar a tarefa em questão, e nada mais.
D usuários e sistemas devem ter ao menos acesso aos dados mestres (master data) e históricos.
E os acessos e privilégios devem ser revisados uma vez na semana, no mínimo.