Интегральной характеристикой защищаемой системы является политика безопасности – качественное (или количественно–качественное) выражение свойств защищенности в терминах, представляющих систему.
Наиболее часто рассматриваются политики безопасности, связанные с понятием «доступ». Доступ – категория субъективно–объективной политики, описывающая процесс выполнения операций субъектов над объектами.
Политика безопасности включает:

• множество операций субъектов над объектами;
• для каждой пары «субъект – объект» (Si,Oi) множество разрешенных операций, из множества возможных операций.

Существуют следующие типы политик безопасности: дискреционная, мандатная и ролевая.
Основой дискреционной (дискретной) noлumuкu бeзonacнocmuявляется дискреционное управление доступом (Discretionary Access Control – DAC), которое определяется двумя свойствами:

• все субъекты и объекты должны быть идентифицированы;
• права доступа субъекта к объекту системы определяются на основании некоторого внешнего по отношению к системе правила.

К достоинствам дискреционной политики безопасности можно отнести относительно простую реализацию соответствующих механизмов защиты. Этим обусловлен тот факт, что большинство распространенных в настоящее время автоматизированные системы, в том числе и АСУВ (АСУ БС, АСУ СН), обеспечивают выполнение положений именно данной политики безопасности.
В качестве примера реализаций дискреционной политики безопасности в AC можно привести матрицу доступов, строки которой соответствуют субъектам системы, а столбцы – объектам; элементы матрицы характеризуют права доступа. К недостаткам относится статичность модели (данная политика безопасности не учитывает динамику изменений состояния AC, не накладывает ограничений на состояния системы.
Кроме этого, при использовании дискреционной политики безопасности возникает вопрос определения правил распространения прав доступа и анализа их влияния на безопасность AC. В общем случае при использовании данной политики безопасности перед монитором безопасности объектов (МБО), который при санкционировании доступа субъекта к объекту руководствуется некоторым набором правил, стоит алгоритмически неразрешимая задача: проверить приведут ли его действия к нарушению безопасности или нет.
В то же время имеются модели АС, реализующих дискреционную политику безопасности (например, модель Take– Grant), которые предоставляют алгоритмы проверки безопасности. Однако они не являются тем механизмом, который бы позволил реализовать ясную и четкую систему защиты информации в АС, что обуславливает поиск более совершенных политик безопасности.
Основу мандатной (полномочной)