Une autorisation en soi n'est normalement pas suffisante pour obtenir l'accès ; l'organisation doit déterminer que la personne autorisée a besoin de connaître l'information.
Personne n'est censé avoir accès à des renseignements classifiés uniquement en raison de son grade, de son poste ou d'une cote de sécurité.