A organização deve fornecer controles de acesso físico ou lógico para o isolamento de aplicações sensíveis, dados de aplicações sensíveis ou sistemas sensíveis.

O acesso a informações confidenciais pode ser realizado por usuários desconhecidos ou anonimamente em casos de emergência técnica.

Em respeito à privacidade do usuário, é preciso evitar controlar quais dados podem ser acessados por determinado usuário.

Para garantir a preservação da confidencialidade, informações de alto valor da organização devem ser acessadas anonimamente quando for preciso compartilhá-las com pessoas externas à organização.

A restrição de acesso a informações confidenciais da organização deve ser tratada fora do escopo do conjunto de políticas de segurança da informação.