Registro CUI

La Controlled Unclassified Information (CUI) es información que el gobierno de EE. UU. exige proteger por su sensibilidad. Sin embargo, no alcanza el umbral de clasificación de las reglas de seguridad nacional. Antes de 2010, este material estaba disperso en más de cien etiquetas inconsistentes de agencias, como For Official Use Only, Sensitive But Unclassified y Law Enforcement Sensitive. La Orden Ejecutiva 13556 sustituyó ese mosaico por un único programa para todo el gobierno y encargó su gestión a los Archivos Nacionales (NARA).

El Registro CUI es el libro de referencia público del Programa CUI. La NARA lo mantiene a través de su Information Security Oversight Office (ISOO). Es la lista oficial de cada categoría y subcategoría CUI aprobada, con las marcas, los controles de manejo y la base legal de cada una. La regla operativa del programa para agencias y contratistas es la 32 CFR Part 2002. En el registro viven las decisiones concretas que recoge ese marco.

El registro organiza la CUI en unas veinte categorías de nivel superior. Cada categoría se divide en subcategorías que llevan las marcas reales. Cada entrada tiene los mismos elementos:

El registro distingue dos tipos de protección. La CUI Basic cubre información cuyas reglas de manejo vienen del propio programa CUI. Los titulares autorizados aplican los controles básicos uniformes de 32 CFR Part 2002, sin añadidos propios de una agencia. La mayoría de las entradas del registro son Basic.

La CUI Specified cubre información para la que una ley o un reglamento ajeno al programa CUI ya define el manejo, por ejemplo una retención más larga, un acceso más estricto o una retirada de controles distinta. Para estas entradas, el registro cita la autoridad competente. Los titulares siguen sus controles específicos cuando difieren de la base. Esto importa a quien redacta procedimientos, porque las categorías Specified no se pueden tratar con una única política para todos.

El registro es la única fuente legítima de las marcas CUI, y marcar es una forma de etiquetado de datos. Eso mantiene las marcas uniformes en todo el gobierno. En la práctica, las reglas funcionan en este orden:

1. 1

   Designación

   El titular autorizado que crea o recibe la información aplica la marca de encabezado CUI, o CUI con un identificador de categoría y subcategoría, con la grafía exacta del registro.

2. 2

   Marcas de porción

   Cada parte de un documento que contiene CUI lleva su propia marca. Así, un documento mixto se puede manejar porción por porción.

3. 3

   Controles de difusión

   Se añaden salvedades opcionales, como FED ONLY o NOFORN, cuando lo exige la entrada del registro o la agencia que designa.

4. 4

   Marcas heredadas

   Las etiquetas retiradas, como For Official Use Only y Sensitive But Unclassified, debieron asignarse a categorías del registro y volver a marcarse durante la transición.

5. 5

   Retirada de controles

   Los controles de la CUI se retiran cuando expira la base de protección, por ejemplo al terminar un contrato. El registro indica qué categorías tienen eventos obligatorios de retirada.

Para una agencia federal, y para los contratistas y beneficiarios de subvenciones que custodian CUI en su nombre, el registro es el punto de partida del flujo de clasificación. Antes de marcar una información, la organización localiza la ley, el reglamento o la política que la respalda. El campo de base de cada entrada sirve precisamente para esa comprobación.

El registro también fija las reglas de trabajo. El personal elige la subcategoría más específica que corresponda y, si ninguna encaja, la información no es CUI, porque las agencias no pueden crear sus propias categorías. Las marcas se copian textualmente en documentos, plantillas y sistemas, y el personal recibe capacitación sobre las categorías que maneja. La clasificación de datos y las herramientas de DLP se alimentan con las categorías del registro. Los inspectores, incluidos quienes revisan sistemas no federales frente a NIST SP 800-171, verifican que el CUI esté marcado de forma coherente con el registro.

El registro cubre solo información no clasificada. Lo que alcanza los umbrales de clasificación de seguridad nacional sigue el sistema clasificado aparte, no el Registro CUI. Tampoco todo documento sensible califica. Si ninguna ley, regulación o política gubernamental exige protección, la información queda fuera del programa, aunque la agencia prefiera protegerla.

Los errores prácticos más habituales van en contra de estas reglas. Como el registro es público y versionado, la defensa frente a todos ellos es la misma: buscar la subcategoría en el registro.

• Inventar una categoría local: Usar una subcategoría del registro; si ninguna encaja, no es CUI
• Marcar todo como CUI: Valorar antes la sensibilidad real de la información
• Omitir la retirada de controles: Retirar los controles cuando expire la base de protección
• Copiar marcas sin comprobar: Revisar la entrada del registro antes de reutilizar una marca

Empiece por la información que su organización realmente maneja y luego asigne cada grupo a una subcategoría del registro. Las reglas de marcado escritas antes de ese paso no se pueden comprobar contra el registro.