Tietojärjestelmästä vastaava taho määrittää järjestelmän käyttöoikeudet käyttäjien tehtäviin liittyen. Todellisten käyttöoikeuksien vastaavuutta suunniteltuun on valvottava ja oikeuksia uudelleenarvioitava säännöllisin aikavälein.

Pääsyoikeuksia katselmoitaessa on huomiotava lisäksi ylläpito-oikeuksien minimointi sekä tarpeettomien tunnusten sulkeminen.

Organisaation olisi säännöllisesti tarkasteltava tilienhallintapolitiikan noudattamista ja itse politiikan vaatimustenmukaisuutta mahdollisten muutostarpeiden varalta.

Organisaation on otettava käyttöön menettely kaikkien tieto- ja viestintäteknisten järjestelmien käyttöoikeuksien tarkistamiseksi suunnitellusti:

• Kriittisiä tai tärkeitä toimintoja tukevien järjestelmien käyttöoikeudet on tarkistettava vähintään kuuden kuukauden välein.
• Kaikkien muiden tieto- ja viestintäteknisten järjestelmien osalta tarkistukset on suoritettava vähintään kerran vuodessa.

Prosessin on vahvistettava:

• käyttöoikeus on edelleen tarpeen
• Oikeudet ovat käyttäjän roolin kannalta asianmukaiset.
• Tarkistukset on dokumentoitava, ja niiden tuloksena on peruutettava liialliset tai vanhentuneet oikeudet.

Organisaation on määriteltävä ja otettava käyttöön menettelytavat tieto- ja viestintäteknisten käyttöoikeuksien hallintaan liittyvien roolien ja vastuualueiden jakamiseksi. Tämä sisältää:

• Vastuun määrittämisen käyttöoikeuksien myöntämisestä, tarkistamisesta ja peruuttamisesta.

Sen varmistaminen, että etuoikeutetut, hallinnolliset ja hätäkäyttöoikeudet myönnetään ainoastaan dokumentoidun tarpeen perusteella, ja:

• Erityisten tilien (ei jaettujen tai yleisten) käyttämisen.
• Valvonnan ad hoc- tai ajallisesti rajoitetun valtuutuksen avulla.

Mahdollisuuksien mukaan otetaan käyttöön automatisoituja työkaluja etuoikeutettujen käyttöoikeuksien hallintaan.

Organisaation tärkeimmissä järjestelmissä pääkäyttäjinä toimivilta vaaditaan useita tunnistamiskeinoja käyttävää kirjautumista (engl. multi-factor authentication, MFA).

Esimerkiksi kirjautuessaan ensin salasanalla, käyttäjälle voidaan lähettää lisäksi kertakäyttöinen tunnistautumiskoodi tekstiviestinä. Tällöin hänet on tunnistettu kahden tekijän avulla (salasanan tietäminen ja puhelimen omistajuus).

Monivaiheisessa tunnistautumisessa voidaan käyttää apuna myös biometrisiä tunnisteita (esim. sormenjälki) ja muita laitteita. Kannattaa kuitenkin huomioida kustannukset ja vaikutukset yksityisyydensuojalle.

Etenkin identiteettien hallinnan pääjärjestelmissä (esim. Microsoft 365, Google), pääkäyttäjätileillä on hyvin merkittävät oikeudet. Nämä tilit ovat usein huijareiden ja hyökkäysten kohteina arvonsa takia. Tämän takia pääkäyttäjätilit on hyödyllistä dedikoida vain hallintakäyttöön, eikä samoja tilejä tulisi hyödyntää jokapäiväisessä käytössä tai esimerkiksi muihin verkkopalveluihin rekisteröidyttäessä.

Ylläpito-oikeuksia hallitaan muodollisen prosessin avulla, jonka tavoitteena on rajata ylläpito-oikeuksien jakamista ja valvoa käyttöä.

Ylläpito-oikeuksiin liittyen:

• on määritely vanhenemista koskevat vaatimukset
• ylläpito-oikeudet myönnetään vain muille kuin normaaliin arkikäyttöön käytettäville käyttäjätunnuksille
• normaalia arkikäyttöä ei saa suorittaa ylläpito-oikeuksilla varustetulla käyttäjätunnuksella