La estructura de este punto de la norma es:
11.1. Requisitos de negocio para el control de accesos.
11.2. Gestión de acceso de usuario.
11.2.2. Gestión de privilegios.
11.3. Responsabilidades del usuario.
11.3.2. Equipo informático de usuario desatendido.
11.3.3. Políticas para escritorios y monitores sin información.
11.4. Control de acceso en red.
11.4.1. Política de uso de los servicios de red.
11.4.2. Autenticación de usuario para conexiones externas.
11.4.3. Autenticación de nodos de la red.
11.4.4. Protección a puertos de diagnóstico remoto.
11.4.5. Segregación en las redes.
11.5. Control de acceso al sistema operativo.
11.5.1. Procedimientos de conexión de terminales.
11.5.2. Identificación y autenticación de usuario.
11.5.3. Sistema de gestión de contraseñas.
11.5.4. Uso de los servicios del sistema.
11.6. Control de acceso a las aplicaciones.
11.7. Informática móvil y tele trabajo.