Programa CUI

Controlled Unclassified Information (CUI) es la información que el Gobierno crea o recibe, o que una organización custodia en su nombre. La ley, la normativa o la política de todo el Gobierno exige protegerla o compartirla solo bajo controles. Aun así, no está clasificada. Ejemplos típicos son los datos técnicos sujetos a control de exportación, la información personal que recogen las agencias federales, los detalles de infraestructuras críticas, el material sensible para las fuerzas de seguridad y los datos propietarios entregados a un regulador.

Antes del programa, las agencias protegían ese material con un conjunto de etiquetas informales, como “sensitive but unclassified”, “for official use only” o “law enforcement sensitive”, y decenas más. El programa CUI las sustituyó por un único marco y una sola regla: si un tipo de información no figura en el registro oficial, no es CUI y no debe marcarse como tal. En términos prácticos, el CUI es una parte de la familia más amplia de datos sensibles.

La Executive Order 13556, de noviembre de 2010, ordenó al poder ejecutivo adoptar un sistema único y uniforme para designar, marcar y proteger la información sensible no clasificada. El reglamento de aplicación, la 32 CFR Part 2002, se publicó en 2016 y entró en vigor por completo en noviembre de 2017. Obliga a todas las agencias federales durante todo el ciclo de vida de la información: designación, marcado, protección, difusión, desclasificación de control y notificación de incidentes.

La National Archives and Records Administration (NARA) actúa como agente ejecutivo. Dentro de la NARA, el Information Security Oversight Office (ISOO) mantiene el registro, publica directrices y formación, y revisa la aplicación en cada agencia. Cada agencia designa a un alto responsable de sus operaciones de CUI. Algunas partes del Gobierno añaden reglas propias. El Departamento de Defensa, por ejemplo, regula su cadena de suministro.

El registro CUI es la columna vertebral del programa. Es la lista oficial de todas las categorías y subcategorías aprobadas. Para cada una recoge la base legal, la marca exacta y cómo debe protegerse, difundirse y desclasificarse la información. Las agencias no pueden inventar categorías propias. La mecánica del marcado es deliberadamente uniforme:

El CUI no se queda dentro del Gobierno. Organizaciones de defensa, aeroespaciales, sanitarias, energéticas y de investigación lo reciben mediante contratos y subvenciones. Cuando sale de un sistema federal, los requisitos lo siguen. Las obligaciones llegan a las organizaciones no federales por dos vías: mediante cláusulas del contrato o convenio, o directamente por ley o reglamento federal.

En la práctica, la base de protección es el NIST SP 800-171, Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations. En su segunda revisión tiene 110 requisitos de seguridad en catorce familias de controles, desde el control de acceso y la auditoría hasta la respuesta a incidentes, la protección de soportes y la seguridad del personal. Las cláusulas concretas determinan cuán estrictamente se aplica:

• DFARS 252.204-7012: los contratos de defensa exigen pleno cumplimiento del NIST SP 800-171 en los sistemas que manejan CUI, traslado de los mismos requisitos a los subcontratistas y notificación de incidentes que afecten a información de defensa protegida en un plazo de 72 horas.
• FAR 52.204-21: los contratos sin la cláusula completa siguen exigiendo medidas básicas, como límites de acceso, supervisión y higiene de seguridad, para los sistemas que procesan o almacenan CUI.
• Evaluación y certificación: el Departamento de Defensa verifica el cumplimiento mediante autoevaluaciones puntuadas, y su programa de certificación añade evaluación por terceros en la cadena de suministro.
• Reglas de manejo: el CUI no debe enviarse a cuentas de correo personales ni almacenarse en dispositivos personales. Debe destruirse con métodos aprobados, y el personal que lo maneja debe estar formado.

Para una organización no federal, el programa se convierte en un ciclo de trabajo concreto de cinco pasos:

1. 1

   Identificar el CUI

   Determine qué información de cada contrato está designada como CUI.

2. 2

   Delimitar el alcance

   Defina dónde se almacena y procesa, idealmente en un entorno dedicado a ese fin.

3. 3

   Aplicar NIST SP 800-171

   Implemente allí los controles del NIST SP 800-171.

4. 4

   Marcar y formar

   Marque los documentos internos de forma coherente y forme a quienes tienen acceso.

5. 5

   Preparar el proceso de incidentes

   Prepare un proceso de incidentes con antelación.

Los modos de fallo habituales son bien conocidos. Tratar el CUI como datos confidenciales de negocio corrientes, dejar que se extienda a sistemas fuera del alcance y cuentas personales, o dejar que las evaluaciones queden desfasadas tras cambios en el entorno.

Anexet no mantiene el registro de CUI ni asigna marcas CUI. Sus reglas de bloqueo pueden, sin embargo, evaluar una etiqueta de confidencialidad de Microsoft en un archivo, de modo que una regla puede apoyarse en un etiquetado de datos que ya existe, igual que el bloqueo según el contenido funciona con etiquetas y huellas digitales.

Un programa CUI no es un ejercicio puntual. El registro evoluciona, las cláusulas contractuales cambian y las evaluaciones deben actualizarse para seguir siendo defendibles.