Суб'єкт інформаційного захисту повинен забезпечити виконання таких вимог під час автентифікації користувачів платіжних систем та користувачів IC у разі віддаленого підключення до таких IC:
1) пароль, що використовується для автентифікації, не повинен передаватися через незахищені мережі та зберігатися в базах даних у відкритому вигляді;
2) повинна застосовуватися багатофакторна автентифікація;
3) заборонено використовувати для автентифікації соціальні мережі та інші вебсервіси загального користування.