Механизм полномочного управления доступом обеспечивает:

• разграничение доступа пользователей к информации, которой назначена категория конфиденциальности (конфиденциальная информация);
• контроль подключения и использования устройств с назначенными категориями конфиденциальности;
• контроль потоков конфиденциальной информации в системе;
• контроль использования сетевых интерфейсов, для которых указаны допустимые уровни конфиденциальности сессий пользователей;
• контроль печати конфиденциальных документов.

По умолчанию в системе предусмотрены следующие категории конфиденциальности: "не конфиденциально" (для общедоступной информации), "конфиденциально" и "строго конфиденциально". При необходимости можно увеличить количество используемых категорий и задать для них названия в соответствии со стандартами, принятыми в вашей организации. Максимально возможное количество категорий — 16.

Категорию конфиденциальности можно назначить для следующих ресурсов:

• локальные физические диски (кроме диска с системным логическим разделом) и любые устройства, включаемые в группы устройств USB, PCMCIA, IEEE1394 или Secure Digital;
• каталоги и файлы на дисках с файловой системой NTFS.

Доступ пользователя к конфиденциальной информации осуществляется в соответствии с его уровнем допуска. Если уровень допуска пользователя ниже, чем категория конфиденциальности ресурса, система блокирует доступ к этому ресурсу. После получения доступа к конфиденциальной информации уровень конфиденциальности программы (процесса) повышается до категории конфиденциальности ресурса, чтобы все сохраняемые данные имели эту категорию конфиденциальности.

Полномочное разграничение доступа на уровне устройств осуществляется следующим образом. Если устройство подключается во время сеанса работы пользователя, уровень допуска которого ниже, чем категория конфиденциальности устройства, система блокирует подключение устройства. При подключении такого устройства до начала сеанса работы пользователя — запрещается вход пользователя в систему. В режиме контроля потоков уровень конфиденциальности сессии пользователя должен соответствовать заданным категориям конфиденциальности всех подключенных устройств.

Функционирование устройства разрешено независимо от уровня допуска пользователя, если для этого устройства включен режим доступа "Устройство доступно без учета категории конфиденциальности" (включен по умолчанию). Доступ к содержимому конфиденциального файла предоставляется пользователю, если категория конфиденциальности файла не превышает уровень допуска пользователя. При этом категория конфиденциальности, заданная для устройства, на котором располагается файл, также анализируется и имеет более высокий приоритет по сравнению с категорией конфиденциальности файла.

Если категория файла ниже категории конфиденциальности устройства — система считает категорию файла равной категории устройства. При обратной ситуации, когда категория файла превышает категорию конфиденциальности устройства, такое состояние расценивается как некорректное и доступ к файлу запрещается