‏برنامج CUI

المعلومات الخاضعة للرقابة غير المصنفة (CUI) هي معلومات تنشئها الحكومة أو تتلقاها، أو تحتفظ بها منظمة نيابةً عنها. وتشترط القوانين أو اللوائح أو السياسات الحكومية العامة حمايتها أو مشاركتها ضمن ضوابط فقط. ومع ذلك فهي غير مصنفة. ومن الأمثلة الشائعة البيانات التقنية الخاضعة لرقابة التصدير، والمعلومات الشخصية التي تجمعها الوكالات الفيدرالية، وتفاصيل البنية التحتية الحرجة، والمواد الحساسة لإنفاذ القانون، والبيانات الخاصة التي تُقدَّم إلى جهة تنظيمية.

قبل وجود البرنامج، كانت الوكالات تحمي هذه المواد بخليط من الوسوم غير الرسمية، مثل “sensitive but unclassified” و“for official use only” و“law enforcement sensitive”، وعشرات غيرها. واستبدل برنامج CUI ذلك بإطار واحد وقاعدة واحدة: إذا لم يكن نوع المعلومات مدرجًا في السجل الرسمي، فليس CUI ولا يجوز وسمه بهذا الشكل. وعمليًا، تُعد CUI جزءًا من عائلة أوسع من البيانات الحساسة.

أصدر الأمر التنفيذي 13556 في نوفمبر 2010 توجيهًا للسلطة التنفيذية بتبني نظام واحد موحد لتحديد المعلومات الحساسة غير المصنفة ووسمها وحمايتها. وبدأت اللائحة التنفيذية 32 CFR Part 2002، المنشورة عام 2016، سريانها الكامل في نوفمبر 2017. وهي تلزم كل وكالة فيدرالية طوال دورة حياة المعلومة، من التحديد والوسم والحماية إلى النشر ورفع الضوابط والإبلاغ عن الحوادث.

تعمل إدارة الأرشيف والسجلات الوطنية (NARA) وكيلًا تنفيذيًا للبرنامج. وداخلها يتولى مكتب الإشراف على أمن المعلومات (ISOO) إدارة السجل، ونشر الإرشادات والتدريب، ومراجعة تطبيق الوكالات. وتعيّن كل وكالة مسؤولًا رفيعًا عن عمليات CUI لديها. وتضيف بعض أجزاء الحكومة قواعد إضافية، فوزارة الدفاع الأمريكية مثلًا تنظم سلسلة التوريد الخاصة بها.

سجل CUI هو العمود الفقري للبرنامج، وهو القائمة الرسمية لكل فئة وفئة فرعية معتمدة. ولكل فئة يسجّل الأساس القانوني، والوسم الدقيق، وكيفية حماية المعلومات ونشرها ورفع الضوابط عنها. لا تستطيع الوكالات ابتكار فئات خاصة بها. وآلية الوسم موحدة عن قصد:

لا تبقى CUI داخل الحكومة. فمنظمات الدفاع والفضاء والرعاية الصحية والطاقة والبحث تتلقاها بموجب عقود ومنح، وحين تغادر نظامًا فيدراليًا تلازمها المتطلبات. وتصل الالتزامات إلى المنظمات غير الفيدرالية بطريقتين: عبر شروط العقد أو الاتفاقية، أو مباشرةً عبر قانون أو لائحة فيدرالية.

عمليًا، أساس الحماية هو NIST SP 800-171، Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations. وهو في نسخته الثانية يتضمن 110 متطلبات أمنية في أربع عشرة عائلة من الضوابط، من ضبط الوصول والتدقيق إلى الاستجابة للحوادث وحماية الوسائط وأمن العاملين. وتحدد البنود المحددة مدى صرامة تطبيقه:

• DFARS 252.204-7012: تتطلب عقود الدفاع الامتثال الكامل لمعيار NIST SP 800-171 في الأنظمة التي تعالج CUI، وتمرير المتطلبات نفسها إلى المقاولين من الباطن، والإبلاغ عن الحوادث التي تمس معلومات الدفاع المحمية خلال 72 ساعة.
• FAR 52.204-21: تظل العقود التي لا تتضمن البند الكامل تتطلب إجراءات حماية أساسية، مثل تقييد الوصول والمراقبة وإجراءات النظافة الأمنية، للأنظمة التي تعالج CUI أو تخزنه.
• التقييم والاعتماد: تتحقق وزارة الدفاع من الامتثال عبر تقييمات ذاتية مرقّمة، ويضيف برنامج الاعتماد لديها تقييمًا من طرف ثالث لسلسلة التوريد.
• قواعد التعامل: لا يجوز إرسال CUI إلى حسابات البريد الشخصية ولا تخزينه على أجهزة شخصية. ويجب إتلافه بطرق معتمدة، ويجب تدريب العاملين الذين يتعاملون معه.

بالنسبة للمنظمة غير الفيدرالية يتحول البرنامج إلى دورة عمل ملموسة من خمس خطوات:

1. 1

   تحديد CUI

   حدّد المعلومات المصنفة كـ CUI في كل عقد.

2. 2

   تحديد النطاق

   حدّد أماكن تخزين المعلومات ومعالجتها، ويفضل ضمن بيئة مخصصة لذلك.

3. 3

   تطبيق NIST SP 800-171

   طبّق ضوابط NIST SP 800-171 في تلك البيئة.

4. 4

   الوسم والتدريب

   ضع وسمًا متسقًا على المستندات الداخلية، ودرّب من لديهم صلاحية الوصول.

5. 5

   إعداد عملية الحوادث

   جهّز عملية للتعامل مع الحوادث مسبقًا.

أنماط الفشل المتكررة معروفة: التعامل مع CUI كبيانات أعمال سرية عادية، وتركه ينتشر إلى أنظمة خارج النطاق وحسابات شخصية، وترك التقييمات تتقادم بعد تغير البيئة.

لا يدير Anexet سجل CUI ولا يمنح وسوم CUI. لكن قواعد الحظر لديه يمكنها فحص تصنيف الحساسية الخاص بـ Microsoft على الملف، فتستطيع القاعدة الاعتماد على وسم البيانات القائم، كما يعمل الحظر المرتبط بالمحتوى مع الوسوم والبصمات الرقمية.

برنامج CUI ليس تمرينًا لمرة واحدة. فالسجل يتطور، وبنود العقود تتغير، ويجب تحديث التقييمات لتبقى قابلة للدفاع عنها.