A administração deve elaborar e aprovar formalmente política de controle de acesso, observando as práticas do item 11.1 da Norma Técnica ABNT NBR ISO/IEC 27.002/2005.