ポリシー決定点
アクセスの要求を受けて、「許すか、拒むか」を判断する仕組みです（英語では policy decision point。PDP と略す）。判断した結果に従って、実際に通信を通したり止めたりする仕組みを、ポリシー施行点（policy enforcement point。PEP）と呼びます。判断と施行を分けて考えるのが要点です。
ゼロトラストのアーキテクチャを組み立てる中心の部品で、CISSP では
CISSPドメイン5 IDとアクセスの管理で扱います。ISC2 の試験アウトラインでは、認可の仕組みの項目にある「Access policy enforcement（例：policy decision point、policy enforcement point）」にあたります。
ゼロトラストのモデルでの役割
NIST SP 800-207（ゼロトラスト・アーキテクチャ、2020年8月）は、主体（利用者など）が組織の資源にアクセスするとき、PDP と、それに対応する PEP を通してアクセスが認められるという抽象モデルを示しています。PDP は、2つの論理的な部品からなります。
| PDP の部品 |
役割 |
| ポリシーエンジン（PE） |
資源へのアクセスを、主体に認めるかどうかを最終的に判断する。組織の方針と、外部の情報（端末の状態の監視、脅威の情報など）を入力にして、認める・拒む・取り消すを決め、判断を記録する |
| ポリシー管理者（PA） |
PE の判断に従って、主体と資源の間の通信の経路を開いたり閉じたりする。そのセッションだけで使う認証のトークンなどを作り、PEP を設定する |
PDP の判断を実際に施行するのが、ポリシー施行点（PEP）です。PEP は、主体と資源の間の接続を可能にし、見張り、最後には終わらせます。PA と通信して要求を伝え、方針の更新を受け取ります（
ゼロトラスト）。
なぜ分けるか
SP 800-207 は、ゼロトラストの原則の一つとして、組織の個々の資源へのアクセスはセッションごとに認め、認める前に要求する側への信頼を評価するとしています。アクセスは、作業に必要な最小限の権限で認めるべき（should）だともしています。ただし、その信頼の評価は、セッションを始める直前とは限らず、「最近のある時点」の評価でよい場合もあるとしています。また、ある資源への認証と認可が、別の資源へのアクセスを自動で認めることはないとしています。判断（PDP）と、資源の前に置く施行（PEP）を分けることで、この「資源ごとに判断する」を形にします（この最後の文は筆者の整理）。
分けたときの注意
- SP 800-207 は、PE の規則を変えられる管理者が承認されていない変更や誤りで業務を乱しうること、乗っ取られた PA が本来認めない資源へのアクセスを許しうることを挙げ、PE と PA を正しく設定し、見張り、設定の変更を記録して監査の対象にするよう求めています
- 同じ文書は、PEP や PE・PA がサービス不能の攻撃などで止まると、資源へのアクセスに影響しうることも挙げています
- SP 800-162 は、PDP と PEP の機能は、分散させても集中させてもよく、物理的にも論理的にも分けてよいとしています
関連するページ
出典
確認日：2026年10月17日
最終更新：2026年10月18日 18:19
