Tietojärjestelmästä vastaava taho määrittää järjestelmän käyttöoikeudet käyttäjien tehtäviin liittyen. Todellisten käyttöoikeuksien vastaavuutta suunniteltuun on valvottava ja oikeuksia uudelleenarvioitava säännöllisin aikavälein.

Pääsyoikeuksia katselmoitaessa on huomiotava lisäksi ylläpito-oikeuksien minimointi sekä tarpeettomien tunnusten sulkeminen.

Organisaation olisi pidettävä ajan tasalla olevaa luetteloa kaikista henkilöistä, joille on myönnetty järjestelmänvalvojan oikeudet sen verkkoihin ja tietojärjestelmiin. Kyberturvallisuudesta vastaavan nimetyn henkilön olisi hyväksyttävä tämä luettelo virallisesti ja tarkistettava se säännöllisesti. Luettelo on myös päivitettävä viipymättä aina, kun järjestelmänvalvojan oikeudet peruutetaan tai kun hänen työsuhteensa organisaatiossa päättyy.

Kaikissa työsuhteen muutostilanteissa pääsyoikeudet olisi katselmoitava yhteistyössä suojattavan omaisuuden omistajien kanssa, ja myönnettävä henkilölle kokonaan uudelleen, kun henkilön työsuhteessa tapahtuu merkittävä muutos. Muutos voi olla ylennys tai roolin vaihtaminen (esim. yksiköstä toiseen siirtyminen).

Ylläpito-oikeuksia hallitaan muodollisen prosessin avulla, jonka tavoitteena on rajata ylläpito-oikeuksien jakamista ja valvoa käyttöä.

Ylläpito-oikeuksiin liittyen:

• on määritely vanhenemista koskevat vaatimukset
• ylläpito-oikeudet myönnetään vain muille kuin normaaliin arkikäyttöön käytettäville käyttäjätunnuksille
• normaalia arkikäyttöä ei saa suorittaa ylläpito-oikeuksilla varustetulla käyttäjätunnuksella