Πρόγραμμα CUI

Η Controlled Unclassified Information (CUI) είναι πληροφορία που δημιουργεί ή λαμβάνει η κυβέρνηση, ή που μια οργάνωση διατηρεί για λογαριασμό της. Ο νόμος, ο κανονισμός ή η κυβερνητική πολιτική ευρείας ισχύος απαιτεί να προστατεύεται ή να κοινοποιείται μόνο υπό ελέγχους. Ωστόσο δεν είναι διαβαθμισμένη. Τυπικά παραδείγματα είναι τεχνικά δεδομένα υπό έλεγχο εξαγωγών, προσωπικά στοιχεία που συλλέγουν ομοσπονδιακές υπηρεσίες, λεπτομέρειες κρίσιμων υποδομών, ευαίσθητο υλικό των αρχών επιβολής του νόμου και ιδιόκτητα δεδομένα που υποβάλλονται σε ρυθμιστική αρχή.

Πριν από το πρόγραμμα, οι υπηρεσίες προστάτευαν τέτοιο υλικό με ένα μωσαϊκό άτυπων ετικετών, όπως “sensitive but unclassified”, “for official use only” και “law enforcement sensitive”, και με δεκάδες άλλες. Το πρόγραμμα CUI τις αντικατέστησε με ένα ενιαίο πλαίσιο και έναν κανόνα: αν ένα είδος πληροφορίας δεν υπάρχει στο επίσημο μητρώο, δεν είναι CUI και δεν επιτρέπεται να σημανθεί ως τέτοιο. Με απλά λόγια, το CUI είναι μέρος της ευρύτερης οικογένειας των ευαίσθητων δεδομένων.

Η Executive Order 13556 του Νοεμβρίου 2010 διέταξε την εκτελεστική εξουσία να υιοθετήσει ένα ενιαίο, ομοιόμορφο σύστημα ορισμού, σήμανσης και προστασίας των ευαίσθητων μη διαβαθμισμένων πληροφοριών. Ο κανονισμός εφαρμογής, η 32 CFR Part 2002, δημοσιεύτηκε το 2016 και ισχύει πλήρως από τον Νοέμβριο του 2017. Δεσμεύει κάθε ομοσπονδιακή υπηρεσία σε όλο τον κύκλο ζωής της πληροφορίας: ορισμός, σήμανση, προστασία, διάδοση, άρση ελέγχου και αναφορά περιστατικών.

Η National Archives and Records Administration (NARA) λειτουργεί ως εκτελεστικός φορέας. Στο πλαίσιο της NARA, το Information Security Oversight Office (ISOO) τηρεί το μητρώο, εκδίδει οδηγίες και εκπαίδευση και ελέγχει την εφαρμογή στις υπηρεσίες. Κάθε υπηρεσία ορίζει ανώτερο στέλεχος υπεύθυνο για τις λειτουργίες CUI της. Ορισμένα τμήματα της κυβέρνησης προσθέτουν δικούς τους κανόνες. Το Υπουργείο Άμυνας, για παράδειγμα, ρυθμίζει την αλυσίδα εφοδιασμού του.

Το μητρώο CUI είναι η ραχοκοκαλιά του προγράμματος. Είναι ο επίσημος κατάλογος κάθε εγκεκριμένης κατηγορίας και υποκατηγορίας. Για καθεμία καταγράφει τη νομική βάση, την ακριβή σήμανση και τον τρόπο προστασίας, διάδοσης και άρσης ελέγχου της πληροφορίας. Οι υπηρεσίες δεν μπορούν να επινοούν δικές τους κατηγορίες. Η μηχανική της σήμανσης είναι σκόπιμα ομοιόμορφη:

Το CUI δεν παραμένει μέσα στην κυβέρνηση. Οργανισμοί άμυνας, αεροδιαστημικής, υγείας, ενέργειας και έρευνας το λαμβάνουν μέσω συμβάσεων και επιχορηγήσεων. Όταν εξέρχεται από ομοσπονδιακό σύστημα, οι απαιτήσεις το ακολουθούν. Οι υποχρεώσεις φτάνουν σε μη ομοσπονδιακούς οργανισμούς με δύο τρόπους: μέσω όρων της σύμβασης ή της συμφωνίας, ή απευθείας μέσω ομοσπονδιακού νόμου ή κανονισμού.

Στην πράξη, η βάση προστασίας είναι το NIST SP 800-171, Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations. Στη δεύτερη αναθεώρησή του έχει 110 απαιτήσεις ασφάλειας σε δεκατέσσερις οικογένειες ελέγχων, από τον έλεγχο πρόσβασης και την καταγραφή ενεργειών έως την αντιμετώπιση περιστατικών, την προστασία μέσων και την ασφάλεια προσωπικού. Οι συγκεκριμένοι όροι καθορίζουν πόσο αυστηρά εφαρμόζεται:

• DFARS 252.204-7012: οι αμυντικές συμβάσεις απαιτούν πλήρη συμμόρφωση με το NIST SP 800-171 για συστήματα που χειρίζονται CUI, μεταβίβαση των ίδιων απαιτήσεων στους υπεργολάβους και αναφορά περιστατικών που αφορούν προστατευόμενες αμυντικές πληροφορίες εντός 72 ωρών.
• FAR 52.204-21: συμβάσεις χωρίς την πλήρη ρήτρα απαιτούν ακόμη βασικά μέτρα προστασίας, όπως περιορισμούς πρόσβασης, παρακολούθηση και στοιχειώδη υγιεινή ασφάλειας, για συστήματα που επεξεργάζονται ή αποθηκεύουν CUI.
• Αξιολόγηση και πιστοποίηση: το Υπουργείο Άμυνας επαληθεύει τη συμμόρφωση με βαθμολογούμενες αυτοαξιολογήσεις, και το πρόγραμμα πιστοποίησής του προσθέτει αξιολόγηση από τρίτους για την αλυσίδα εφοδιασμού.
• Κανόνες χειρισμού: το CUI δεν επιτρέπεται να στέλνεται σε προσωπικούς λογαριασμούς email ούτε να αποθηκεύεται σε προσωπικές συσκευές. Καταστρέφεται με εγκεκριμένες μεθόδους, και το προσωπικό που το χειρίζεται πρέπει να είναι εκπαιδευμένο.

Για έναν μη ομοσπονδιακό οργανισμό, το πρόγραμμα γίνεται ένας συγκεκριμένος κύκλος εργασιών σε πέντε βήματα:

1. 1

   Εντοπισμός CUI

   Εντοπίστε ποιες πληροφορίες κάθε σύμβασης έχουν χαρακτηριστεί ως CUI.

2. 2

   Οριοθέτηση εύρους

   Ορίστε πού αποθηκεύονται και επεξεργάζονται, κατά προτίμηση σε ειδικό περιβάλλον για αυτόν τον σκοπό.

3. 3

   Εφαρμογή NIST SP 800-171

   Εφαρμόστε εκεί τους ελέγχους του NIST SP 800-171.

4. 4

   Σήμανση και εκπαίδευση

   Σημάνετε με συνέπεια τα εσωτερικά έγγραφα και εκπαιδεύστε όσους έχουν πρόσβαση.

5. 5

   Προετοιμασία διαδικασίας περιστατικών

   Ετοιμάστε εκ των προτέρων μια διαδικασία για περιστατικά.

Τα επαναλαμβανόμενα σημεία αποτυχίας είναι γνωστά. Η αντιμετώπιση του CUI ως συνηθισμένων εμπιστευτικών επιχειρηματικών δεδομένων, η διασπορά του σε συστήματα εκτός εύρους και σε προσωπικούς λογαριασμούς, και η παλαίωση των αξιολογήσεων μετά από αλλαγές στο περιβάλλον.

Το Anexet δεν τηρεί το μητρώο CUI και δεν αποδίδει σημάνσεις CUI. Οι κανόνες αποκλεισμού του μπορούν όμως να ελέγχουν μια ετικέτα ευαισθησίας της Microsoft σε ένα αρχείο, οπότε ένας κανόνας μπορεί να βασίζεται στην επισήμανση δεδομένων που ήδη υπάρχει, όπως και ο αποκλεισμός με βάση το περιεχόμενο λειτουργεί με ετικέτες και ψηφιακά αποτυπώματα.

Ένα πρόγραμμα CUI δεν είναι εφάπαξ άσκηση. Το μητρώο εξελίσσεται, οι όροι των συμβάσεων αλλάζουν και οι αξιολογήσεις πρέπει να ανανεώνονται για να παραμένουν τεκμηριώσιμες.