審計策略要求通常來自三個層次：

• 信息安全。 文件訪問審計跟蹤經常用于法規分析和入侵檢測。監測關于獲取高價值信息的特定事件的能力，使得組織明顯改善其響應時間和調查的準確性。
• 組織策略。例如，遵循 PCI 標準規定的組織可以有一個中央策略，以監測到標記為包含信用卡信息和 PII信息的所有文件的訪問或者組織可能要監視所有未經授權的查看他們的項目信息嘗試。
• 部門策略。例如，財務部門只希望僅限財務部門的員工才能修改一些財務文檔（比如，一份季度盈利報告）并且希望監視所有試圖修改這些文檔的嘗試。此外，合規管理部門希望監視所有中央策略和策略結構如用戶，計算機和資源屬性的變化。

安全審計的最大的考慮因素之一是收集、存儲和分析審計事件的成本。如果審計策略過于寬泛，收集的審計事件的數量將增加，使得需要花費更多的時間和更高昂的成本，找出最重要的審計事件。但是，如果審計策略過于狹窄，你可能會錯過重要事件。

在 Windows Server 2012 中，您可以結合聲明和資源屬性(文件標記)來創建審核策略。通過減少與審計要求最相關的潛在的審計事件，您可以創建一個更豐富，更具選擇性和易于管理的審核策略。它將使得一些現在看起來不可能或是難以實現的場景能夠實現，以下是這些審計策略的例子：

審核每一個沒有高度安全許可的用戶嘗試訪問 HBI 文檔的操作。在這個示例中，“高度安全許可”是一個聲明，而“HBI”是文件的標簽。當一個沒有高度安全許可的用戶試圖訪問HBI 文檔時，審計策略將觸發一個事件。

審計所有供應商訪問與他們所從事項目無關的文檔。在這個例子中，用戶的聲明包括雇傭關系狀態為“供應商”，還包括授權這個用戶正在從事的項目清單。除此之外，組織中的每一個供商應可能訪問的文件都標記了相應的項目相關的信息。當一個供應試圖訪問一個項目文件，而該供應商的聲明列表中沒匹配文件的標簽信息，那么它將觸發一個審計事件。

為了查看和查詢審計事件，您可以使用熟悉的工具。例如服務器本地的事件查看器，或是使用 SCOM 中的審計集合服務查看多臺服務器的審計事件。動態訪問控制的 API 能夠支持將 DAC 的審計事件集成到第三方的審計軟件管理控制臺。這些工具使您能夠回答這樣的問題：“誰訪問了我的 HBI 數據”或是“是否有非授權的用戶嘗試訪問機密數據”。

下圖顯示了文件訪問策略流程中，Active Directory、組策略、文件服務器和用戶的內部關系。Active Directory 用于創建聲明類型和資源屬性，組策略用于定義和存儲審計策略，文件服務器上的文件將策略和資源屬性作為文件標簽，而用戶，試圖訪問文件服務器上的信息。