Un modello di transizione di stato formale del criterio di protezione del computer che descrive un insieme di regole di controllo di accesso.