CUI Registry

المعلومات غير المصنّفة الخاضعة للضوابط (CUI) هي معلومات تشترط الحكومة الأمريكية حمايتها بسبب حساسيتها، لكنها لا تبلغ عتبة التصنيف وفق قواعد الأمن القومي. قبل عام 2010 كانت هذه المواد موزّعة على أكثر من مئة تسمية متضاربة تستخدمها الجهات، مثل For Official Use Only وSensitive But Unclassified وLaw Enforcement Sensitive. جاء الأمر التنفيذي 13556 ليستبدل بهذا التشتت برنامجًا حكوميًا واحدًا، وكلّف إدارة المحفوظات والسجلات الوطنية (NARA) بتشغيله.

سجل CUI هو الدليل العام لـبرنامج CUI. تتولى الأرشيف الوطني الأمريكي (NARA) صيانته عبر مكتب الإشراف على أمن المعلومات (ISOO). وهو القائمة الرسمية المعتمدة لكل فئة وفئة فرعية من CUI، مع الوسوم وضوابط التعامل والأساس القانوني لكل منها. القاعدة التشغيلية للبرنامج للجهات والمتعاقدين هي 32 CFR Part 2002. وفي السجل تُدوَّن القرارات الملموسة المنبثقة عن هذا الإطار.

ينظّم السجل معلومات CUI في نحو عشرين فئة رئيسية، وتنقسم كل فئة إلى فئات فرعية تحمل العلامات الفعلية. ولكل مدخلة العناصر نفسها:

يميّز السجل بين نوعين من الحماية. يغطي CUI Basic المعلومات التي تأتي قواعد التعامل معها من برنامج CUI نفسه، ويطبّق الحائزون المخوَّلون الضوابط الأساسية الموحّدة الواردة في 32 CFR Part 2002، دون إضافات خاصة بجهة بعينها. ومعظم مدخلات السجل من النوع Basic.

أما CUI Specified فيغطي المعلومات التي يحدد لها قانون أو لائحة خارج برنامج CUI طريقة التعامل معها، كالاحتفاظ لمدة أطول أو الوصول الأشد صرامة أو إنهاء الضوابط بشكل مختلف. يذكر السجل الجهة المرجعية لهذه المدخلات، ويتبع الحائزون ضوابطها الخاصة حيث تختلف عن الأساس. وهذا التمييز مهم لكل من يكتب إجراءات التعامل، لأن فئات Specified لا تُدار بسياسة واحدة تناسب الجميع.

السجل هو المصدر الشرعي الوحيد لوسوم CUI، والوسم شكل من أشكال وسم البيانات. وبذلك تبقى الوسوم موحّدة في الحكومة كلها. وعمليًا تعمل القواعد بهذا الترتيب:

1. 1

   التحديد

   يضع الحائز المخوّل الذي ينشئ المعلومة أو يتسلمها علامة الترويسة CUI، أو CUI مع معرّف الفئة والفئة الفرعية، بالهجاء الحرفي الوارد في السجل.

2. 2

   علامات الأجزاء

   يحمل كل جزء من المستند الذي يتضمن CUI علامته الخاصة، فيمكن التعامل مع المستند المختلط جزءًا جزءًا.

3. 3

   ضوابط النشر

   تُلحق القيود الاختيارية، مثل FED ONLY أو NOFORN، عندما تستدعيها مدخلة السجل أو الجهة صاحبة التحديد.

4. 4

   العلامات القديمة

   سُحبت التسميات القديمة مثل For Official Use Only وSensitive But Unclassified، وكان على الجهات ربط معلوماتها بفئات السجل وإعادة وضع العلامات خلال مرحلة الانتقال.

5. 5

   إنهاء الضوابط

   تُرفع الضوابط عن CUI عندما ينقضي أساس الحماية، كانتهاء عقد مثلًا. ويدوّن السجل الفئات التي ترتبط بأحداث إنهاء إلزامية.

بالنسبة إلى جهة فيدرالية، وإلى المتعاقدين والحاصلين على المنح الذين يحوزون CUI نيابة عنها، يشكّل السجل نقطة انطلاق سير عمل التصنيف. قبل وضع أي علامة على معلومة، تحدد المؤسسة القانون أو اللائحة أو السياسة الحكومية التي تستند إليها، فحقل الأساس في كل مدخلة موجود لهذا التحقق تحديدًا.

يحدد السجل أيضًا قواعد العمل. يختار الموظفون أضيق فئة فرعية مناسبة، فإن لم تناسب أيٌّ منها فالمعلومة ليست CUI، لأن الجهات لا تستطيع ابتكار فئات خاصة بها. تُنسخ الوسوم حرفيًا إلى المستندات والقوالب والأنظمة، ويُدرَّب الموظفون على الفئات التي يتعاملون معها. تُغذّى أدوات تصنيف البيانات وأدوات DLP بفئات السجل. ويتحقق المفتشون، ومنهم من يفحص الأنظمة غير الفيدرالية وفق NIST SP 800-171، من أن CUI موسوم بما يتفق مع السجل.

يغطي السجل المعلومات غير المصنّفة فقط. وما يبلغ عتبات التصنيف للأمن القومي يتبع نظام التصنيف السري المنفصل لا سجل CUI. ولا يندرج كل مستند حساس تحت هذا التعريف أيضًا، إذ ليست كل المستندات الحساسة مؤهلة. وإذا لم يشترط أي قانون أو لائحة أو سياسة حكومية الحماية، فالمعلومة خارج البرنامج، حتى لو فضّلت الجهة حمايتها.

الأخطاء المتكررة في الممارسة تعكس هذه القواعد نفسها. ولأن السجل عام ومرقّم الإصدارات، فالوقاية من كل ذلك واحدة: ابحث عن الفئة الفرعية في السجل.

• اختراع فئة محلية: استخدم فئة فرعية من السجل، وإلا فالمعلومة ليست CUI
• وضع علامة CUI على كل شيء: قدّر الحساسية الفعلية للمعلومة أولًا
• تجاوز إنهاء الضوابط: ارفع الضوابط عند انقضاء أساس الحماية
• نسخ العلامات دون مراجعة: راجع مدخلة السجل قبل إعادة استخدام العلامة

ابدأ بالمعلومات التي تتعامل معها مؤسستك فعلًا، ثم اربط كل مجموعة بفئة فرعية في السجل. قواعد الوسم التي تُكتب قبل هذه الخطوة لا يمكن التحقق منها مقابل السجل.