Ayrıcalıklı erişimi kasaya almak tek başına yeterli değildir; asıl soru, o erişimle sistemde ne yapıldığıdır. Bir yönetici oturumunda hangi komutların çalıştırıldığı, hangi verinin görüntülendiği ve hangi yapılandırmanın değiştirildiği kayıt altına alınmadığında hem soruşturma hem denetim dayanaksız kalır. Bu atölye ayrıcalıklı kullanımı izlenebilir, aranabilir ve kanıtlanabilir hale getiren kontrolleri konu alır. Dört modül boyunca katılımcılar önce izleme kapsamını ve kanıt gereksinimlerini belirler. Ardından oturum kaydı, komut günlüğü ve ekran kaydı mekanizmaları laboratuvarda yapılandırılır; kayıtların bütünlüğü ve saklama süresi tasarlanır. Davranış temel çizgisi çıkarma, anormal etkinlik tespiti ve uyarı kurallarının yazımı uygulanır. Son modülde denetim raporlaması, kayıtların gizlilik dengesi ve olay soruşturmasında kullanımı işlenir. Katılımcı, kurumu için hazırladığı ayrıcalıklı izleme ve denetim planıyla atölyeyi tamamlar.