CUI Registry

Οι Controlled Unclassified Information (CUI) είναι πληροφορίες που η κυβέρνηση των ΗΠΑ απαιτεί να προστατεύονται λόγω της ευαισθησίας τους. Δεν φτάνουν όμως στο όριο διαβάθμισης των κανόνων εθνικής ασφάλειας. Πριν από το 2010, το υλικό αυτό ήταν διάσπαρτο σε περισσότερες από εκατό ασύμβατες υπηρεσιακές ετικέτες, όπως For Official Use Only, Sensitive But Unclassified και Law Enforcement Sensitive. Το Εκτελεστικό Διάταγμα 13556 αντικατέστησε αυτό το συνονθύλευμα με ένα ενιαίο κυβερνητικό πρόγραμμα και ανέθεσε τη διαχείρισή του στην Υπηρεσία Εθνικών Αρχείων (NARA).

Το CUI Registry είναι το δημόσιο εγχειρίδιο αναφοράς του Προγράμματος CUI. Τη συντήρησή του αναλαμβάνει η NARA μέσω του Information Security Oversight Office (ISOO). Είναι ο επίσημος κατάλογος κάθε εγκεκριμένης κατηγορίας και υποκατηγορίας CUI, με τις σημάνσεις, τους ελέγχους χειρισμού και τη νομική βάση της καθεμίας. Ο λειτουργικός κανόνας του προγράμματος για φορείς και αναδόχους είναι το 32 CFR Part 2002. Στο μητρώο καταγράφονται οι συγκεκριμένες αποφάσεις που απορρέουν από αυτό το πλαίσιο.

Το μητρώο κατατάσσει τις CUI σε περίπου είκοσι κορυφαίες κατηγορίες. Κάθε κατηγορία χωρίζεται σε υποκατηγορίες, που φέρουν τις πραγματικές σημάνσεις. Κάθε εγγραφή έχει τα ίδια στοιχεία:

Το μητρώο διακρίνει δύο είδη προστασίας. Το CUI Basic καλύπτει πληροφορίες των οποίων οι κανόνες χειρισμού προέρχονται από το ίδιο το Πρόγραμμα CUI. Οι εξουσιοδοτημένοι κάτοχοι εφαρμόζουν τους ενιαίους βασικούς ελέγχους του 32 CFR Part 2002, χωρίς πρόσθετους όρους κάθε υπηρεσίας. Οι περισσότερες εγγραφές του μητρώου είναι Basic.

Το CUI Specified καλύπτει πληροφορίες για τις οποίες νόμος ή κανονισμός εκτός του Προγράμματος CUI ορίζει ήδη τον χειρισμό, για παράδειγμα μεγαλύτερη διατήρηση, αυστηρότερη πρόσβαση ή διαφορετικό αποχαρακτηρισμό. Για αυτές τις εγγραφές το μητρώο αναφέρει την αρμόδια αρχή, και οι κάτοχοι ακολουθούν τους ειδικούς ελέγχους της, όπου διαφέρουν από τη βάση. Αυτό έχει σημασία για όποιον γράφει διαδικασίες χειρισμού, γιατί οι κατηγορίες Specified δεν διέπονται από μία πολιτική για όλες.

Το μητρώο είναι η μόνη νόμιμη πηγή των σημάνσεων CUI, και η σήμανση είναι μία μορφή επισήμανσης δεδομένων. Έτσι οι σημάνσεις παραμένουν ενιαίες σε όλη την κυβέρνηση. Στην πράξη, οι κανόνες εφαρμόζονται με αυτή τη σειρά:

1. 1

   Χαρακτηρισμός

   Ο εξουσιοδοτημένος κάτοχος που δημιουργεί ή παραλαμβάνει την πληροφορία βάζει τη σήμανση κεφαλίδας CUI, ή CUI με αναγνωριστικό κατηγορίας και υποκατηγορίας, με την ακριβή γραφή του μητρώου.

2. 2

   Σημάνσεις τμημάτων

   Κάθε τμήμα εγγράφου με CUI φέρει τη δική του σήμανση. Έτσι, ένα μικτό έγγραφο μπορεί να χειρίζεται τμήμα προς τμήμα.

3. 3

   Έλεγχοι διάδοσης

   Προαιρετικοί περιορισμοί, όπως FED ONLY ή NOFORN, προστίθενται όταν τους απαιτεί η εγγραφή του μητρώου ή η χαρακτηρίζουσα υπηρεσία.

4. 4

   Παλαιές σημάνσεις

   Οι αποσυρμένες ετικέτες, όπως For Official Use Only και Sensitive But Unclassified, έπρεπε να αντιστοιχιστούν σε κατηγορίες του μητρώου και να ξανασημανθούν κατά τη μετάβαση.

5. 5

   Αποχαρακτηρισμός

   Οι CUI αποχαρακτηρίζονται όταν λήξει η βάση προστασίας, για παράδειγμα όταν τελειώσει μια σύμβαση. Το μητρώο καταγράφει ποιες κατηγορίες έχουν υποχρεωτικά γεγονότα αποχαρακτηρισμού.

Για μια ομοσπονδιακή υπηρεσία, αλλά και για τους αναδόχους και τους δικαιούχους επιχορηγήσεων που κατέχουν CUI για λογαριασμό της, το μητρώο είναι το σημείο εκκίνησης της ροής κατηγοριοποίησης. Πριν σημανθεί μια πληροφορία, ο οργανισμός εντοπίζει τον νόμο, τον κανονισμό ή την πολιτική πίσω της. Το πεδίο βάσης κάθε εγγραφής υπάρχει ακριβώς για αυτόν τον έλεγχο.

Το μητρώο ορίζει επίσης τους κανόνες εργασίας. Το προσωπικό επιλέγει την πιο στενή υποκατηγορία που ταιριάζει και, αν καμία δεν ταιριάζει, η πληροφορία δεν είναι CUI, επειδή οι φορείς δεν μπορούν να δημιουργούν δικές τους κατηγορίες. Οι σημάνσεις αντιγράφονται αυτούσιες σε έγγραφα, πρότυπα και συστήματα, και το προσωπικό εκπαιδεύεται στις κατηγορίες που χειρίζεται. Η ταξινόμηση δεδομένων και τα εργαλεία DLP τροφοδοτούνται με τις κατηγορίες του μητρώου. Οι ελεγκτές, μεταξύ αυτών όσοι ελέγχουν μη ομοσπονδιακά συστήματα με βάση το NIST SP 800-171, εξετάζουν αν το CUI σημαίνεται σύμφωνα με το μητρώο.

Το μητρώο καλύπτει μόνο μη διαβαθμισμένες πληροφορίες. Ό,τι φτάνει τα όρια διαβάθμισης για την εθνική ασφάλεια ακολουθεί το ξεχωριστό σύστημα διαβαθμισμένων πληροφοριών, όχι το CUI Registry. Ούτε κάθε ευαίσθητο έγγραφο πληροί τις προϋποθέσεις. Αν κανένας νόμος, κανονισμός ή κυβερνητική πολιτική δεν απαιτεί προστασία, η πληροφορία βρίσκεται εκτός προγράμματος, ακόμη κι αν ο φορέας θα προτιμούσε να την προστατεύσει.

Τα συνήθη λάθη παραβιάζουν αυτούς τους κανόνες. Επειδή το μητρώο είναι δημόσιο και εκδίδεται σε εκδόσεις, η άμυνα απέναντι σε όλα είναι η ίδια: αναζητήστε την υποκατηγορία στο μητρώο.

• Εφεύρεση τοπικής κατηγορίας: Χρησιμοποιήστε υποκατηγορία του μητρώου, αλλιώς δεν είναι CUI
• Σήμανση των πάντων ως CUI: Εκτιμήστε πρώτα την πραγματική ευαισθησία
• Παράλειψη αποχαρακτηρισμού: Αποχαρακτηρίστε όταν λήξει η βάση προστασίας
• Αντιγραφή σημάνσεων χωρίς έλεγχο: Ελέγξτε την εγγραφή του μητρώου πριν τη χρήση

Ξεκινήστε από τις πληροφορίες που πραγματικά διαχειρίζεται ο οργανισμός σας και μετά αντιστοιχίστε κάθε ομάδα σε μια υποκατηγορία του μητρώου. Κανόνες σήμανσης που γράφονται πριν από αυτό το βήμα δεν μπορούν να ελεγχθούν έναντι του μητρώου.