B1: ラベル付きセキュリティ 各データ オブジェクトには分類ラベルが含まれ、各サブジェクトにはクリアランス ラベルが必要です。サブジェクトがオブジェクトにアクセスしようとすると、システムはサブジェクトとオブジェクトのセキュリティ ラベルを比較して、要求されたアクションが許容可能であることを確認する必要があります。システムから送信されるデータにも、正確なセキュリティ ラベルが含まれている必要があります。セキュリティ ポリシーは非公式のステートメントに基づいており、設計仕様はレビューおよび検証されます。これは、システムが機密データを処理する必要のある環境を対象としています。
B2: 構造化保護 セキュリティ ポリシーは明確に定義され、文書化されており、システムの設計と実装は、より徹底したレビューとテスト手順の対象となります。このクラスでは、より厳格な認証メカニズムと、レイヤー間の明確に定義されたインターフェイスが必要です。サブジェクトとデバイスにはラベルが必要であり、システムは隠れたチャネルを許可してはなりません。ログオンと認証プロセス用の信頼できるパスが配置されている必要があります。つまり、トラップドアはありません。信頼できるパスとは、サブジェクトがアプリケーションまたはオペレーティング システムと直接通信していることを意味します。この通信チャネルを回避したり、侵害したりする方法はありません。システム内でオペレータ機能と管理機能が分離されており、より信頼性が高く保護された運用機能を提供します。プロセスを分離するために個別のアドレス空間を提供する必要があり、隠れたチャネル分析が行われます。このクラスでは、システムの設計に要件を追加することで保証が追加されます。B2 システムを必要とする環境では、より高度なセキュリティを必要とする機密データを処理できます。この環境では、侵入や侵害に対して比較的耐性のあるシステムが必要です。(信頼できるパスとは、ユーザーがオペレーティング システムの正規のコピーと通信していることを確信できることを意味します。)
B3: セキュリティ ドメイン このクラスでは、各保護メカニズムの粒度がより細かく設定され、セキュリティ ポリシーのサポートに必要のないプログラミング コードは除外されます。設計と実装は複雑になりすぎないようにする必要があります。システムの複雑さが増すと、システムのテスト、保守、構成を行う個人の能力が低下し、全体的なセキュリティが脅かされる可能性があるためです。リファレンス モニターのコンポーネントは、適切にテストできるほど小さく、改ざん防止機能を備えている必要があります。セキュリティ管理者の役割は明確に定義されており、システムはセキュリティ レベルを損なわずに障害から回復できる必要があります。システムが起動してオペレーティング システムとコンポーネントをロードするときは、この時間内にシステムの弱点が悪用されないように、初期の安全な状態で実行する必要があります。" pg. 226 Shon Harris: オールインワン CISSP 認定試験ガイド