Bei diesen Einstellungen sollte man aber darauf achten, die Überwachung nicht für alle Arten von Zugriffen durchzuführen, besonders nicht für den erfolgreichen Lesezugriff. Sehr schnell kann eine zu breit angelegte Überwachungsrichtlinie zu einer lähmend großen Anzahl von Sicherheitsereignissen führen, die dann das System bis zum Kriechen verlangsamen und das Protokoll mit unbrauchbaren Informationen füllen. Aus demselben Grund ist die Anzahl der Ordner zu begrenzen, für die die Überwachung aktiviert ist. Beispielsweise wäre die Überwachungsaktivierung für alle Zugriffsarten auf dem Systemlaufwerksstamm die beste Vorraussetzung für eine Katastrophe.

Je nach Art der zu schützenden Information sollen etwa unbefugte Versuche eine Datei zu lesen aufgedeckt oder jemand, der versucht hat eine Datei zu verändern, verfolgt werden. Um unbefugte Leseversuche zu entdecken, wird die Überwachung für fehlgeschlagene Read-Data-(Daten lesen-)Versuche aktiviert. Um Dateiänderungen zu erkennen, wird die Überwachung für erfolgreiche Write-Data-(Daten schreiben) und Append-Data-(Daten anhängen-)Versuche aktiviert. Windows 2000 führt die Überwachung allerdings nur für potenzielle Änderungen durch. Öffnet Hans beispielsweise ein Microsoft Word-Dokument für den Schreibzugriff, schließt aber die Datei sofort wieder ohne Änderungen vorzunehmen, protokolliert Windows 2000 nur, dass Hans die Datei für den Schreibzugriff erfolgreich geöffnet hat.