Die Zugangssteuerung zu Anwendungen unter der Kontrolle der verantwortlichen Organisation erfolgt nach dem Prinzip, dass nur Zugriffe möglich sind die explizit freigeschaltet werden, im Gegensatz zum schwächeren Prinzip, dass grundsätzlich alles erlaubt ist, was nicht explizit gesperrt wird. Benutzer müssen sich mit Benutzernamen und Kenwörtern an Systemen authentifizieren, die ausreichend komplex und lang. Systeme die über das Internet erreichbar sind müssen nach einer bestimmten Anzahl von erfolglosen Anmeldeversuchen den Zugang sperren, so dass er ohne Eingriff eines Administrators nicht mehr verwendet werden kann.