Modelo de seguridad que expresa formalmente los requisitos de integridad de una política de seguridad. Es un modelo de integridad basado en transacciones, donde una transacción gramaticalmente correcta es una serie de operaciones que recorren el sistema de un estado a otro estado, todos ellos consistentes. En este modelo la política de integridad dirige la integridad de las transacciones. Como norma el certificador de una transacción y el desarrollador deben ser diferentes entidades. Se considera más adecuado para su uso general por atender a la integridad más que a la confidencialidad.
