Programme CUI

La Controlled Unclassified Information (CUI) désigne une information que le gouvernement crée ou reçoit, ou qu'une organisation détient pour son compte. La loi, un règlement ou une politique gouvernementale exige qu'elle soit protégée ou partagée uniquement sous contrôle. Elle n'est pourtant pas classifiée. Les exemples types comprennent les données techniques soumises au contrôle des exportations, les informations personnelles collectées par les agences fédérales, les détails sur les infrastructures critiques, le matériel sensible des forces de l'ordre et les données propriétaires transmises à un régulateur.

Avant ce programme, les agences protégeaient ces documents avec une mosaïque d'étiquettes informelles, comme « sensitive but unclassified », « for official use only » ou « law enforcement sensitive », et des dizaines d'autres. Le programme CUI les a remplacées par un cadre unique et une règle unique : si un type d'information ne figure pas dans le registre officiel, ce n'est pas du CUI et il ne doit pas être marqué comme tel. Concrètement, le CUI fait partie de la famille plus large des données sensibles.

L'Executive Order 13556 de novembre 2010 a chargé le pouvoir exécutif d'adopter un système unique et uniforme pour désigner, marquer et protéger les informations sensibles non classifiées. Le règlement d'application, la 32 CFR Part 2002, publié en 2016, est pleinement en vigueur depuis novembre 2017. Il s'impose à chaque agence fédérale tout au long du cycle de vie de l'information : désignation, marquage, protection, diffusion, déclassification et signalement des incidents.

La National Archives and Records Administration (NARA) agit comme agent exécutif. Au sein de la NARA, l'Information Security Oversight Office (ISOO) tient le registre, publie orientations et formations, et examine la mise en œuvre dans les agences. Chaque agence désigne un responsable de haut niveau pour ses opérations CUI. Certaines parties du gouvernement ajoutent leurs propres règles. Le Department of Defense, par exemple, régule sa chaîne d'approvisionnement.

Le registre CUI est la colonne vertébrale du programme. C'est la liste faisant autorité de toutes les catégories et sous-catégories approuvées. Pour chacune, il précise le fondement juridique, le marquage exact et la manière dont l'information doit être protégée, diffusée et déclassifiée. Les agences ne peuvent pas inventer leurs propres catégories. La mécanique du marquage est volontairement uniforme :

Le CUI ne reste pas au sein de l'administration. Des organismes de défense, de l'aérospatiale, de la santé, de l'énergie et de la recherche le reçoivent dans le cadre de contrats et de subventions. Lorsqu'il quitte un système fédéral, les exigences le suivent. Les obligations atteignent les organisations non fédérales par deux voies : les clauses du contrat ou de l'accord, ou directement la loi ou un règlement fédéral.

En pratique, la référence en matière de protection est le NIST SP 800-171, Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations. Dans sa deuxième révision, il compte 110 exigences de sécurité réparties en quatorze familles de contrôles, du contrôle d'accès et de l'audit à la réponse aux incidents, à la protection des supports et à la sécurité du personnel. Des clauses précises déterminent la rigueur de son application :

• DFARS 252.204-7012 : les contrats de défense exigent la pleine conformité au NIST SP 800-171 pour les systèmes traitant du CUI, la répercussion de ces exigences sur les sous-traitants et la notification, sous 72 heures, des incidents touchant des informations de défense protégées.
• FAR 52.204-21 : les contrats sans la clause complète exigent tout de même des protections de base, comme la limitation des accès, la surveillance et l'hygiène de sécurité, pour les systèmes qui traitent ou stockent du CUI.
• Évaluation et certification : le Department of Defense vérifie la conformité par des auto-évaluations notées. Son programme de certification ajoute une évaluation par un tiers pour la chaîne d'approvisionnement.
• Règles de manipulation : le CUI ne doit pas être envoyé à des comptes de messagerie personnels ni stocké sur des appareils personnels. Il doit être détruit selon des méthodes approuvées, et le personnel qui le manipule doit être formé.

Pour une organisation non fédérale, le programme devient un cycle de travail concret en cinq étapes :

1. 1

   Identifier le CUI

   Repérer quelles informations de chaque contrat sont désignées CUI.

2. 2

   Délimiter le périmètre

   Définir où elles sont stockées et traitées, idéalement dans un environnement dédié.

3. 3

   Mettre en œuvre le NIST SP 800-171

   Appliquer les contrôles du NIST SP 800-171 dans cet environnement.

4. 4

   Marquer et former

   Marquer les documents internes de façon cohérente et former les personnes ayant accès.

5. 5

   Préparer le processus d'incident

   Préparer à l'avance un processus de gestion des incidents.

Les modes d'échec récurrents sont bien connus. On traite le CUI comme des données commerciales confidentielles ordinaires, on le laisse se répandre dans des systèmes hors périmètre et des comptes personnels, ou on laisse les évaluations devenir obsolètes après un changement d'environnement.

Anexet ne tient pas le registre CUI et n'attribue pas de marquages CUI. Ses règles de blocage peuvent toutefois tester une étiquette de sensibilité Microsoft sur un fichier. Une règle peut donc s'appuyer sur un étiquetage des données déjà en place, comme le fait le blocage selon le contenu à partir d'étiquettes et d'empreintes.

Un programme CUI n'est pas un exercice ponctuel. Le registre évolue, les clauses contractuelles changent, et les évaluations doivent être actualisées pour rester défendables.