第壹級是用戶自主保護級。這壹等級的TCB，通過隔離用戶與數據，使用戶具備自主安全保護的能力。這壹等級的計算機信息系統具有多種形式的控制能力，對用戶實施訪問控制，即為用戶提供可行的手段，保護用戶和用戶組信息，避免其他用戶對數據的非法讀寫與破壞。
第二級是系統審計保護級。這壹等級的TCB，實施了比用戶自主保護級精度更細的自主訪問控制，通過登錄規程、審計安全性相關事件和隔離資源，使用戶對自己的行為負責。
第三級是安全標記保護級。這壹等級的TCB，具有系統審計保護級的所有功能並有所擴展，提供了基本的強制訪問功能。這壹等級的信息系統應提供有關安全策略模型、數據標記以及主體對客體強制訪問控制的非形式化描述，具有準確地標記輸出信息的能力，並能消除通過測試發現的任何錯誤。
第四級是結構化保護級。這壹等級的TCB，建立在壹個明確定義的形式化安全策略模型之上，要求將第三級中的自主和強制訪問控制擴展到所有主體與客體，並考慮隱蔽通道。
第五級是訪問驗證保護級。這壹等級的TCB，應能夠滿足訪問監控器的需求，訪問監控器負責仲裁主體對客體的全部訪問。訪問監控器本身必須是足夠小、抗篡改、並且能夠進行分析和測試。為了滿足訪問監控器需求，在構造TCB時，必須去除那些對實施安全策略來說並非必要的編碼；在設計和實現TCB時，應該將其復雜性降低到最低程度。這壹等級的計算機信息系統還應支持安全管理員職能，擴充審計機制，當發生與安全相關的事件時發出信號，並提供系統恢復機制。這壹等級的系統具有很高的抗滲透能力。