Un énoncé mathématique précis d'une politique de sécurité. Pour être suffisamment précis, ce modèle doit représenter l'état initial d'un système, la façon dont le système progresse d'un État à l'autre et d'une définition d'un état « sûr » du système.