Organisaation turva-alueille ei pääse huomaamatta, vaan tilat on suojattu asianmukaisella kulunvalvonnalla. Vain luvan saaneet henkilöt pääsevät turva-alueille.

The organization must develop, document, and implement procedures for logical and physical access control. These must take into account:

• Access to all assets, supporting functions and locations are managed on need-to-know, need-to-use and least privileges basis. Including remote and emergency access.
• User accountability, users actions must be identifiable
• Authentication methods must commensurate with the classification and overall risk profile of the assets. They must be strong methods that are based on leading practices. They must apply to all forms of access (remote, privileged, access to assets, etc.)

Pääsyä kriittisiä järjestelmiä sisältäviin rakennuksiin tulee valvoa jatkuvasti luvattoman pääsyn tai epäilyttävän toiminnan havaitsemiseksi. Valvontakäytännöissä tulisi huomioida seuraavat asiat:

• tunkeutumishälytyksen aiheuttavat kosketus-, ääni- tai liiketunnistimet
• ulko-ovien ja ikkunoiden peitto tunnistimia käyttämällä
• henkilöstöttömien sekä muuten tärkeiden (mm. palvelin- tai viestintäteknologia) tilojen valvonta 
• hälytysjärjestelmien säännöllinen testaus

Valvontajärjestelmiin liittyvien tietojen tulee olla luottamuksellisia, koska tietojen paljastaminen voi helpottaa havaitsemattomia murtoja. Valvontajärjestelmät itsessään tulee myös suojata asiallisesti, jottei tallenteisiin tai järjestelmän tilaan pääse vaikuttamaan luvatta.