Un policy enforcement point è la parte di un sistema di controllo degli accessi che applica le regole e prende la decisione di consentire o negare ogni richiesta. Nella gestione delle identità e degli accessi, un PEP spesso si colloca davanti a un'applicazione o a una risorsa protetta, verifica il contesto di autenticazione dell'utente e la policy corrente, e poi inoltra la richiesta oppure la blocca.
I PEP sono importanti perché rappresentano un confine di fiducia: molti sistemi a valle si basano sulla loro decisione. Se un PEP viene aggirato, configurato in modo errato o vulnerabile, gli attaccanti possono raggiungere dati o funzioni a cui non dovrebbero accedere. Nelle difese reali, i team rafforzano e correggono i PEP, revisionano la logica delle policy, monitorano i log di negazione e di autenticazione e convalidano la gestione delle sessioni, in modo che il livello di enforcement non possa essere indotto con l'inganno ad approvare attività non autorizzate.