Beim bedingten Zugriff werden eine Reihe von Regeln festgelegt, die verschiedene Risikofaktoren analysieren, wie die IP-Adresse und Zugriffszeit sowie das Gerät und den Standort des Benutzers. Auf Grundlage dieser Risikofaktoren wird dann in Echtzeit eine automatische Entscheidung zur Zugriffskontrolle getroffen. Auf diese Weise lassen sich unnötig strenge Sicherheitsmaßnahmen in Szenarien mit geringem Risiko vermeiden, beispielsweise wenn sich ein Mitarbeiter innerhalb des Bürogebäudes anmeldet. Dies ermöglicht eine hohe Benutzerfreundlichkeit, ohne die Sicherheit zu beeinträchtigen.