I controlli di policy sono le regole che un sistema di accesso usa per decidere se una richiesta debba essere consentita. Possono valutare l'identità dell'utente, lo stato di salute del dispositivo, la posizione, l'ora, la rete o il rischio dell'applicazione prima di concedere l'accesso. Nelle architetture zero trust, i controlli di policy sono il varco tra l'autenticazione e l'accesso effettivo, quindi un accesso valido da solo non basta.
Sono importanti perché riducono la fiducia non necessaria e aiutano a limitare il raggio di impatto se le credenziali vengono rubate. Nella difesa, i controlli di policy possono bloccare dispositivi obsoleti, aree geografiche sospette o endpoint non gestiti, e possono imporre un'autenticazione aggiuntiva o negare completamente l'accesso. Negli attacchi, i criminali spesso cercano di aggirare o indebolire questi controlli rubando token, abusando di regole configurate in modo errato o prendendo di mira percorsi VPN legacy che concedono un accesso ampio dopo l'accesso. Controlli di policy efficaci rendono l'accesso più condizionato e più facile da revocare quando le condizioni cambiano.