devem ser protegidos contra acessos não autorizados.

não devem conter a identificação dos usuários que fazem acesso ao sistema de informação.

não devem registrar atividades do administrador do sistema de informação.

o registro de falhas no sistema de informação não apresenta utilidade.

são necessários apenas para sistemas de informação com mais de 200 usuários.