Суб'єкт інформаційного захисту зобов'язаний забезпечити розроблення, документування, узгодження з платіжною організацією платіжної системи та періодичне оновлення політики управління доступом у платіжній системі, а також заходів, пов'язаних із реалізацією цієї політики.