La policy di identità è un insieme di regole che decide se un utente, un dispositivo o una sessione siano abbastanza affidabili da ottenere l'accesso. Queste regole di solito combinano segnali di identità come lo stato di accesso, l'autenticazione multifattore, lo stato di salute del dispositivo, la posizione, l'ora e il punteggio di rischio. In un modello Zero Trust, la policy di identità aiuta a sostituire l'accesso di rete ampio con decisioni precise a livello di applicazione.
Questo è importante perché gli aggressori spesso sfruttano credenziali valide, sessioni rubate o dispositivi non gestiti. Una policy di identità efficace può bloccare un accesso sospetto, limitare l'accesso da un dispositivo sconosciuto o richiedere una verifica aggiuntiva prima di aprire applicazioni sensibili. In difesa, i team di sicurezza usano la policy di identità per applicare il privilegio minimo, ridurre il movimento laterale e rendere l'accesso condizionale invece che automatico. Se la policy è troppo permissiva, la fiducia si estende oltre ciò che è sicuro; se è troppo restrittiva, gli utenti possono essere bloccati inutilmente. L'obiettivo è un accesso consapevole del contesto che corrisponda al rischio reale.