Monitor de Referencia
El concepto abstracto de lo que realmente dice "no" — un punto de control de acceso que media cada petición de sujeto a objeto, no puede saltarse, y es suficientemente pequeño para verificarse.
Tres propiedades definen un monitor de referencia: media cada acceso relevante (sin saltos), es a prueba de manipulación (un atacante no puede desactivarlo), y es suficientemente pequeño para ser verificable (realmente puedes convencerte de que es correcto). La arquitectura moderna reutiliza la misma idea con otro nombre — el Policy Enforcement Point en XACML y Zero Trust es un monitor de referencia para la era de los sistemas distribuidos.