某机构需要设计安全控制来只允许高级数据的读，以及限制低级数据的写入，该机构需要采用什么安全模型？