Учасник ринку зобов’язаний з урахуванням вимог законодавства України у сфері захисту інформації, інформаційної безпеки та кіберзахисту розробити внутрішні документи, які встановлюють вимоги щодо надання, скасування та контролю доступу до інформаційних систем учасника ринку, що використовуються для приймання, реєстрації, оброблення, зберігання, надсилання електронних документів, і мають містити:
1) вимоги до ідентифікації, автентифікації, авторизації клієнтів учасника ринку;
2) послідовність дій під час управління доступом, послідовність дій під час управління віддаленим доступом (реєстрація, надання повноважень, перегляд та скасування доступу);
3) перелік типових функцій та прав доступу до інформаційних систем учасника ринку;
4) вимоги щодо здійснення заходів контролю доступу;
5) періодичність контролю наданих прав доступу;
6) вимоги до протоколювання дій під час управління доступом.
Учасник ринку зобов’язаний забезпечити дотримання принципу надання мінімального рівня повноважень під час надання доступу до інформаційних систем учасника ринку, що використовуються для приймання, реєстрації, оброблення, зберігання, надсилання електронних документів.
Розроблені внутрішні документи, зазначені в пункті 10 цього розділу, є обов’язковими для виконання всіма працівниками й уповноваженими представниками учасника ринку та можуть оформлятися у вигляді окремих документів, одного документа або бути частиною / частинами іншого / інших документа / документів.