La policy a livello di sessione è un insieme di regole di accesso valutate separatamente per ogni login o sessione di connessione. Anziché prendere una decisione una tantum basata solo su una password, può verificare identità, stato del dispositivo, ubicazione, segnali di rischio o se l'endpoint è gestito prima di concedere l'accesso. Nei sistemi zero-trust, questo aiuta a spostare l'autorizzazione dal bordo della rete alla singola sessione.
Questo è importante perché gli aggressori spesso rubano credenziali o abusano di dispositivi fidati. Se l'accesso viene deciso per sessione, un account valido non significa automaticamente un accesso ampio o permanente. I difensori possono richiedere un'autenticazione aggiuntiva, bloccare i dispositivi ad alto rischio o limitare una sessione a specifiche app e servizi. In pratica, la policy a livello di sessione è comune nelle sostituzioni delle VPN, negli strumenti di accesso privilegiato e nei gateway per applicazioni cloud, dove ogni connessione deve essere rivalutata anziché considerata attendibile per impostazione predefinita.