La información de seguridad almacenada en una cuenta de usuario es suficiente para establecer el grado libertad (o de otro modo, las restricciones) que cada usuario debe poseer en el sistema. Sin embargo, resultaría muchas veces tedioso para el administrador determinar dichas restricciones usuario por usuario, especialmente en sistemas con un elevado número de ellos. Un grupo de usuarios permite agrupar de forma lógica a los usuarios de un sistema, y establecer permisos y restricciones a todo el grupo de una vez. Un usuario puede pertenecer a tantos grupos como sea necesario, poseyendo implícitamente la suma de los permisos de todos ellos. Esta forma de administrar la protección del sistema es mucho más flexible y potente que el establecimiento de permisos en base a usuarios individuales.

El diseño de una red, la administración y el mantenimiento, requiere de observaciones y seguridades extremas.
Los usuarios son quienes toman la iniciativa del trabajo o del sistema, las instrucciones que se les proporcionen debe ser con medidas de seguridad desde el inicio hasta el fin.
Los administradores de sistemas pueden tomar dos posturas al tratar con los usuarios:

El administrador de sistemas paranoico normalmente causa más daño que el que previene, recuérdese que los usuarios no tienen la habilidad, pero si parte del conocimiento. En cambio, el administrador de sistemas confiado causa gran cantidad de problemas por creer que el usuario tiene toda la habilidad y todo el conocimiento.

La mejor forma de administrar un sistema, no es con un puño de hierro, es con disciplina, las reglas son para que los usuarios entiendan perfectamente que las reglas marcan la seguridad del sistema, nosotros como administradores del sistema, dentro de cualquier sistema operativo en red debemos marcar seguridad extrema y colocar barreras de manera que los usuarios no las aborten. Estas reglas nacen cuando:

Se trata de las credenciales únicas de un usuario en un dominio, ofreciéndole la posibilidad de iniciar sesión en el Dominio para tener acceso a los recursos de la red o de iniciar la sesión local en un equipo para tener acceso a los recursos locales. Cada persona que utilice la red regularmente debe tener una cuenta. Las cuentas de usuario se utilizan para controlar cómo un usuario tiene acceso al Dominio o a un equipo. Por ejemplo, puede limitar el número de horas en las que un usuario puede iniciar una sesión en el dominio, impresoras de red que puede utilizar... Es decir, gracias a las cuentas de usuario el Administrador puede controlar todo lo que un usuario puede hacer en un dominio, a través de las restricciones de su cuenta y la configuración de derechos de usuario.

Las cuentas de usuarios se organizan en grupos. Cuando se añade un usuario a un grupo, el usuario tendrá los derechos y permisos asignados a ese grupo.
Windows NT distingue dentro del concepto de grupo, dos categorías: grupos locales y globales.

• Grupo local: Los grupos locales se utilizan para conceder a los usuarios permisos de acceso a un recurso de la red. Recordemos que los permisos son normas que regulan qué usuarios pueden emplear un recurso como, por ejemplo, una carpeta, un archivo o una impresora. Los grupos locales también se utilizan para proporcionar a los usuarios los derechos para realizar tareas del sistema tales como el cambio de hora de un equipo o la copia de seguridad y la restauración de archivos. Los grupos locales están formados por usuarios y grupos que pueden proceder tanto del dominio en que se crearon y residen las cuentas, como de otros dominios, si tenemos establecidas relaciones de confianza. No pueden incluir ningún grupo local y sólo se les puede asignar permisos y derecho sobre recursos del Domino local.
• Grupo Global: Los grupos globales se utilizan para organizar cuentas de usuario del dominio, normalmente por función o ubicación geográfica. Se suelen usar, en redes con múltiples dominios. Cuando los usuarios de un dominio necesitan tener acceso a los recursos existentes en otro dominio, se agregarán a un grupo local del otro dominio para conceder derechos a sus miembros. Se tienen que crear en un controlador del dominio en el que residen las cuentas de los usuarios. Los grupos globales están formados sólo por usuarios de un mismo dominio (del mismo en que reside el grupo) y no pueden contener ningún tipo de grupos.