Chính sách tuỳ ý chỉ rõ những đặc quyền mà mỗi chủ thể có thể có được trên các đối tượng của hệ thống. Các yêu cầu truy nhập được kiểm tra, thông qua một cơ chế kiểm soát tuỳ ý, truy nhập chỉ được trao cho các chủ thể thoã mãn các quy tắc trao quyền hiện có. | Hình 5 Kiểm soát truy nhập bắt buộc Chính sách tùy ý chỉ rõ những đặc quyền mà mỗi chủ thể có thể có được trên các đối tượng của hệ thống. Các yêu cầu truy nhập được kiểm tra thông qua một cơ chế kiểm soát tuỳ ý truy nhập chỉ được trao cho các chủ thể thoả mãn các quy tắc trao quyền hiện có hình 6 . Hình 6 Kiểm soát truy nhập tuỳ ý 20 Chính sách tuỳ ý dựa vào định danh của người dùng có yêu cầu truy nhập. Điều này ngầm định rằng việc phân quyền kiểm soát dựa vào quyền sở hữu. Tuy nhiên chính sách tuỳ ý cũng phù hợp với quản trị tập trung. Trong trường hợp này quyền được người quản trị hệ thống quản lý quản trị phi tập trung ý muốn nói đến các chính sách kiểm soát tuỳ ý. Chính sách tuỳ ý cần các cơ chế trao quyền phức tạp hơn nhằm tránh mất quyền kiểm soát khi lan truyền quyền từ người trao quyền hoặc những người có trách nhiệm khác. Sự thu hồi quyền đã được lan truyền là một vấn đề khác. Với mỗi quyền bị thu hồi người dùng người đã được trao hoặc nhận quyền đó phải được hệ thống nhận dạng xác định . Hiện tồn tại nhiều chính sách thu hồi khác nhau cho mục đích này. DAC có nhược điểm sau nó cho phép đọc thông tin từ một đối tượng và chuyển đến một đối tượng khác mà có thể được ghi bởi chủ thể Các chính sách bắt buộc và tuỳ ý là không loại trừ lẫn nhau. Chúng có thể được kết hợp với nhau chính sách bắt buộc được áp dụng cho kiểm soát trao quyền trong khi đó chính sách tuỳ ý được áp dụng cho kiểm soát truy nhập. Các quy tắc trao quyền Như đã trình bày ở trên nhiệm vụ của người cấp quyền là chuyển đổi các yêu cầu và các chính sách an toàn thành các quy tắc trao quyền. Thông thường tổ chức xác định các yêu cầu an toàn và người dùng nhận biết chúng thông qua kinh nghiệm của họ. Các quy tắc trao quyền được biểu diễn đúng với môi trường phần mềm phần cứng của hệ thống bảo vệ và các chính sách an toàn được chấp thuận. Quá trình thiết kế một hệ thống an toàn phải đưa ra được một mô hình và mô hình này hỗ trợ người trao quyền khi ánh xạ các yêu cầu vào các quy tắc tuỳ theo các
