CUI-Programm

Controlled Unclassified Information (CUI) sind Informationen, die die Regierung erstellt oder erhält, oder die eine Organisation in ihrem Auftrag verwahrt. Gesetz, Verordnung oder behördenübergreifende Richtlinie verlangt, dass sie nur unter Kontrollen geschützt oder weitergegeben werden. Sie sind aber nicht als Verschlusssache eingestuft. Typische Beispiele sind exportkontrollierte technische Daten, personenbezogene Informationen, die Bundesbehörden erheben, Details kritischer Infrastrukturen, sensible Materialien der Strafverfolgung und firmeneigene Daten, die einer Aufsichtsbehörde übermittelt werden.

Vor dem Programm schützten Behörden solche Materialien mit einem Flickenteppich inoffizieller Kennzeichnungen wie „sensitive but unclassified“, „for official use only“ oder „law enforcement sensitive“ und Dutzenden weiteren. Das CUI-Programm ersetzte sie durch einen einheitlichen Rahmen und eine einzige Regel: Steht eine Informationsart nicht im offiziellen Register, ist sie kein CUI und darf nicht als solches gekennzeichnet werden. Im Alltag ist CUI ein Teil der größeren Familie sensibler Daten.

Die Executive Order 13556 vom November 2010 verpflichtete die Exekutive, ein einheitliches System zur Einstufung, Kennzeichnung und Sicherung sensibler, nicht eingestufter Informationen einzuführen. Die Durchführungsverordnung 32 CFR Part 2002 wurde 2016 veröffentlicht und gilt seit November 2017 vollständig. Sie bindet jede Bundesbehörde über den gesamten Lebenszyklus der Information: Einstufung, Kennzeichnung, Sicherung, Verbreitung, Freigabe und Meldung von Vorfällen.

Die National Archives and Records Administration (NARA) fungiert als Executive Agent. Innerhalb der NARA führt das Information Security Oversight Office (ISOO) das Register, veröffentlicht Leitlinien und Schulungen und prüft die Umsetzung in den Behörden. Jede Behörde benennt eine leitende Person für ihre CUI-Abläufe. Einzelne Teile der Regierung ergänzen eigene Regeln, so reguliert das Department of Defense etwa seine Lieferkette.

Das CUI-Register ist das Rückgrat des Programms. Es ist die verbindliche Liste aller genehmigten Kategorien und Unterkategorien. Für jede hält es die Rechtsgrundlage, die genaue Kennzeichnung sowie die Art der Sicherung, Verbreitung und Freigabe fest. Behörden dürfen keine eigenen Kategorien erfinden. Die Mechanik der Kennzeichnung ist bewusst einheitlich:

CUI bleibt nicht innerhalb der Regierung. Organisationen aus Verteidigung, Luft- und Raumfahrt, Gesundheit, Energie und Forschung erhalten es über Verträge und Zuwendungen. Verlässt es ein Bundessystem, folgen die Anforderungen der Information. Pflichten erreichen nichtföderale Organisationen auf zwei Wegen: über Vertragsklauseln oder Vereinbarungen oder direkt über Bundesgesetz oder Verordnung.

In der Praxis ist die Schutzgrundlage das NIST SP 800-171, Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations. In der zweiten Revision umfasst es 110 Sicherheitsanforderungen in vierzehn Kontrollfamilien, von Zugriffskontrolle und Audit bis zu Vorfallsreaktion, Medienschutz und Personalsicherheit. Konkrete Klauseln bestimmen, wie streng es durchgesetzt wird:

• DFARS 252.204-7012: Verteidigungsverträge verlangen die volle Konformität mit dem NIST SP 800-171 für Systeme mit CUI, die Weitergabe derselben Anforderungen an Subunternehmer und die Meldung von Vorfällen mit geschützten Verteidigungsinformationen innerhalb von 72 Stunden.
• FAR 52.204-21: Verträge ohne die vollständige Klausel verlangen dennoch Grundschutz, etwa Zugriffsbeschränkungen, Überwachung und Sicherheitshygiene, für Systeme, die CUI verarbeiten oder speichern.
• Bewertung und Zertifizierung: Das Department of Defense prüft die Konformität über bewertete Selbstauskünfte. Sein Zertifizierungsprogramm ergänzt für die Lieferkette die Prüfung durch Dritte.
• Handhabungsregeln: CUI darf nicht an private E-Mail-Konten gesendet oder auf privaten Geräten gespeichert werden. Es muss nach zugelassenen Verfahren vernichtet werden, und das Personal muss geschult sein.

Für eine Organisation außerhalb der Bundesverwaltung wird das Programm zu einem konkreten Arbeitszyklus in fünf Schritten:

1. 1

   CUI identifizieren

   Ermitteln, welche Informationen jedes Vertrags als CUI ausgewiesen sind.

2. 2

   Geltungsbereich festlegen

   Festlegen, wo CUI gespeichert und verarbeitet wird, idealerweise in einer dafür abgetrennten Umgebung.

3. 3

   NIST SP 800-171 umsetzen

   Die Kontrollen des NIST SP 800-171 in dieser Umgebung umsetzen.

4. 4

   Kennzeichnen und schulen

   Interne Dokumente einheitlich kennzeichnen und die Personen mit Zugang schulen.

5. 5

   Vorfallprozess vorbereiten

   Einen Vorfallprozess im Voraus bereithalten.

Die wiederkehrenden Fehlermuster sind bekannt. CUI wird wie gewöhnliche vertrauliche Geschäftsdaten behandelt. Es breitet sich in Systemen außerhalb des Geltungsbereichs und in Privatkonten aus. Oder Bewertungen veralten nach Änderungen der Umgebung.

Anexet pflegt das CUI-Register nicht und vergibt keine CUI-Kennzeichnungen. Seine Sperrregeln können jedoch die Microsoft-Vertraulichkeitskennzeichnung einer Datei prüfen. So kann eine Regel auf der bereits vorhandenen Datenkennzeichnung aufbauen, ähnlich wie das inhaltsbasierte Blockieren mit Kennzeichen und Fingerabdrücken arbeitet.

Ein CUI-Programm ist keine einmalige Übung. Das Register entwickelt sich weiter, Vertragsklauseln ändern sich, und Bewertungen müssen aufgefrischt werden, um belastbar zu bleiben.