A administração deve definir política de controle de acesso a informações e recursos de TI, com base nos requisitos de negócio e de segurança da informação da entidade, com observância das orientações da NBR ISO/IEC 27002/2005 (item 11.1.1). Também deve implantar processos formais de registro de usuário, gerenciamento de senhas, gerenciamento de privilégios e análise crítica dos direitos de acesso, com vistas a garantir efetividade dos procedimentos de controle de acesso operacionalizados para esses processos, com observância das recomendações do item 11.2 e subitens da NBR ISO/IEC 27002:2005.