A administração deve elaborar, aprovar formalmente e dar ampla divulgação a uma política de controle de acesso, observando as diretrizes e recomendações do item 11.1.1 da NBR ISO/IEC 27002/2005.