Classe A Protezione certificata
Il Tcb di un A1 (progetto certificato)
- si distingue da quello di un B3 dal fatto che la sua affidabilità deriva dall’aver utilizzato un modello formale delle politiche di sicurezza, una specifica formale di alto livello del progetto. Il modello deve essere estendibile