Kategória I

a)
Zavedenie pravidiel zakazujúcich zdieľanie používateľských hesiel do informačných technológií verejnej správy.

b)
Zavedenie identifikácie používateľa a autentifikácie pri vstupe do informačných technológií verejnej správy.

c)
Zavedenie pravidiel na zmenu používateľských hesiel s frekvenciou najmenej jeden rok.

Kategória II

a)
Vypracovanie a implementácia interného predpisu upravujúceho riadenie prístupu k údajom a funkciám informačných technológií verejnej správy založenom na zásade, že používateľ má prístup len k tým údajom a funkciám, ktoré potrebuje na vykonávanie svojich úloh.

b)
Určenie postupu a zodpovednosti v súvislosti s prideľovaním prístupových práv používateľom a ich schvaľovania vlastníkom informačných aktív.

c)
Zaznamenávanie zmien v pridelenom prístupe a ich archivácia.

d)
Používanie bezpečných postupov identifikácie a autentifikácie jednotlivých používateľov s cieľom minimalizovať možnosť neautorizovaného prístupu.

e)
Vytvorenie a presadzovanie politiky a systému správy hesiel, ktorá umožní používateľom najmä
1.
zabezpečiť absolútnu kontrolu nad heslom svojho používateľského účtu,
2.
presadzovať určenú štruktúru hesla,
3.
vyžadovať pravidelnú zmenu hesla,
4.
uchovávať a prenášať používateľské heslá bezpečným spôsobom.

f)
Zabezpečenie formálneho riadenia a autorizácie prideľovania privilegovaných prístupov do informačných technológií verejnej správy a ich obmedzenie len na nevyhnutné prípady.

g)
Preskúmavanie privilegovaných prístupových práv v pravidelných intervaloch najmenej raz za rok.

h)
Určenie bezpečnostných zásad na mobilné pripojenie do informačných technológií verejnej správy a na prácu na diaľku.

i)
Automatické zaznamenávanie každého prístupu administrátora do informačných technológií verejnej správy a automatické zaznamenávanie prístupu používateľa.

j)
Vedenie formalizovanej dokumentácie prístupových práv všetkých používateľov informačných technológií verejnej správy.

Kategória III

a)
Implementácia centrálnej správy identít (IDM).

b)
Preskúmanie prístupových opatrení v spolupráci s vlastníkom najmenej raz za rok.

c)
Vypracovanie a pravidelná aktualizácia zoznamu privilegovaných prístupových oprávnení a ich preskúmavanie každých šesť mesiacov.

d)
Implementácia, vynucovanie prístupových rolí v informačných technológiách verejnej správy.

e)
Zamedzenie možnosti zmeny log záznamov prístupu každého používateľa vrátane administrátora do informačných technológií verejnej správy, zamedzenie možnosti vymazania týchto záznamov a uchovávanie týchto záznamov šesť mesiacov.

f)
Používanie silných autentizačných metód na overenie identity používateľov, ako je viacfaktorová autentizácia pri informačných technológiách verejnej správy, ktoré obsahujú prísne chránené informačné aktíva v zmysle klasifikácie informačných aktív.