コンピュータシステム上における各プロセスやユーザに対して許可する振る舞いや禁止する動作を定義したもの。組織の情報セキュリティマネジメントの観点から定められたセキュリティポリシーを実際のシステムに実装するために用いられる。アクセス制御ポリシーのコンテキストでは，何からの作用を実行する主体をサブジェクト，作用の対象をオブジェクトと呼び，典型的にはサブジェクトからオブジェクトへの作用の可否を定義したマトリクスとして表現される。