Organisaation on laadittava virallinen menettely, jolla henkilöstölle myönnetään valtuutus, ja noudatettava sitä. Valtuutuksen on sisällettävä vähintään seuraavat seikat:

• jäsennelty valtuutushaastattelu, jossa arvioidaan soveltuvuus pyydettyyn käyttöoikeuteen.
• Ennen valtuutuksen myöntämistä valtuutusviranomaisella ei saa olla tietoja, jotka antavat perusteltua aihetta epäillä henkilön soveltuvuutta turvallisuuteen. Päätös ja sen perusteet on dokumentoitava.

Organisaatio toteuttaa roolipohjaista pääsynhallintaa, jossa on ennakkoon määritetty eri suojattavalle omaisuudelle pääsyoikeusroolit, jotka oikeuttavat pääsyn. Roolien tiukkuuden tulisi heijastaa omaisuuteen liittyviä tietoturvariskejä.

Määrittelyn tueksi pitää harkita seuraavia asioita:

• kuinka laajoihin tietoihin kukin käyttäjä tarvitsee pääsyn
• kuinka laajasti käyttäjän tulee pystyä muokkaamaan tietoja (luku-, kirjoitus-, poisto-, tulostamis-, suorittamisoikeus)
• onko muilla sovelluksilla pääsyä tietoihin
• voidaanko tietoja eriyttää omaisuuden sisällä niin, että arkaluonteiset tiedot paljastuvat vähemmän