Registre CUI

La Controlled Unclassified Information (CUI) désigne les informations que le gouvernement américain exige de protéger en raison de leur sensibilité. Elles n'atteignent cependant pas le seuil de classification fixé par les règles de sécurité nationale. Avant 2010, ce matériel était dispersé entre plus de cent étiquettes d'agences incohérentes, comme For Official Use Only, Sensitive But Unclassified ou Law Enforcement Sensitive. L'ordonnance exécutive 13556 a remplacé cette mosaïque par un programme unique à l'échelle du gouvernement, et a confié sa gestion aux Archives nationales (NARA).

Le CUI Registry est le répertoire public du programme CUI. La NARA le tient à jour par l'intermédiaire de son Information Security Oversight Office (ISOO). C'est la liste officielle de chaque catégorie et sous-catégorie CUI approuvée, avec les marquages, les contrôles de traitement et le fondement juridique de chacune. La règle d'application du programme pour les agences et les prestataires est la 32 CFR Part 2002. Le registre contient les décisions concrètes qui découlent de ce cadre.

Le registre répartit la CUI en une vingtaine de catégories de premier niveau. Chaque catégorie se divise en sous-catégories, qui portent les marquages effectifs. Chaque entrée comporte les mêmes éléments :

Le registre distingue deux types de protection. La CUI Basic couvre les informations dont les règles de manipulation découlent du programme CUI lui-même. Les détenteurs autorisés appliquent les contrôles de base uniformes du 32 CFR Part 2002, sans ajouts propres à une agence. La plupart des entrées du registre sont Basic.

La CUI Specified couvre les informations pour lesquelles une loi ou un règlement extérieur au programme CUI fixe déjà la manipulation, par exemple une conservation plus longue, un accès plus strict ou une levée différente. Pour ces entrées, le registre cite l'autorité compétente, et les détenteurs suivent ses contrôles spécifiques lorsqu'ils s'écartent de la base. Cette distinction compte pour quiconque rédige des procédures, car les catégories Specified ne se traitent pas avec une politique unique.

Le registre est la seule source légitime des marquages CUI, et le marquage est une forme d'étiquetage des données. C'est ce qui garantit l'uniformité des marquages dans toute l'administration. En pratique, les règles s'appliquent dans cet ordre :

1. 1

   Désignation

   Le détenteur autorisé qui crée ou reçoit l'information applique le marquage de bandeau CUI, ou CUI avec l'identifiant catégorie et sous-catégorie, avec l'orthographe exacte du registre.

2. 2

   Marquages de portion

   Chaque portion d'un document contenant de la CUI porte son propre marquage. Un document mixte peut ainsi être traité portion par portion.

3. 3

   Contrôles de diffusion

   Des restrictions facultatives comme FED ONLY ou NOFORN sont ajoutées lorsque l'entrée du registre ou l'agence désignatrice les exige.

4. 4

   Anciens marquages

   Les étiquettes retirées, comme For Official Use Only et Sensitive But Unclassified, ont dû être rattachées aux catégories du registre et remarquées pendant la transition.

5. 5

   Levée des contrôles

   Les contrôles de la CUI sont levés lorsque la base de protection expire, par exemple à la fin d'un contrat. Le registre indique quelles catégories comportent des événements de levée obligatoires.

Pour une agence fédérale, ainsi que pour les sous-traitants et bénéficiaires de subventions qui détiennent de la CUI pour son compte, le registre est le point de départ du flux de classification. Avant de marquer une information, l'organisation identifie la loi, le règlement ou la politique qui la fonde. Le champ de base de chaque entrée sert précisément à cette vérification.

Le registre fixe aussi les règles de travail. Le personnel choisit la sous-catégorie la plus précise qui convient ; si aucune ne convient, l'information n'est pas du CUI, car les agences ne peuvent pas créer leurs propres catégories. Les marquages sont recopiés tels quels dans les documents, les modèles et les systèmes, et le personnel est formé aux catégories qu'il manipule. La classification des données et les outils DLP sont alimentés par les catégories du registre. Les inspecteurs, y compris ceux qui contrôlent les systèmes non fédéraux selon le NIST SP 800-171, vérifient que le CUI est marqué conformément au registre.

Le registre ne couvre que les informations non classifiées. Tout ce qui atteint les seuils de classification de sécurité nationale relève du système classifié distinct, pas du CUI Registry. Tout document sensible ne remplit pas non plus ces conditions. Si aucune loi, aucun règlement ni aucune politique publique n'exige de protection, l'information est hors du programme, même si l'organisme préférerait la protéger.

Les erreurs pratiques récurrentes découlent de ces règles. Comme le registre est public et versionné, la parade est toujours la même : chercher la sous-catégorie dans le registre.

• Inventer une catégorie locale: Utiliser une sous-catégorie du registre, sinon ce n'est pas CUI
• Marquer tout comme CUI: Évaluer d'abord la sensibilité réelle de l'information
• Oublier la levée des contrôles: Lever les contrôles quand la base de protection expire
• Copier les marquages sans vérifier: Vérifier l'entrée du registre avant de réutiliser un marquage

Commencez par les informations que votre organisation détient réellement, puis associez chaque groupe à une sous-catégorie du registre. Les règles de marquage rédigées avant cette étape ne peuvent pas être vérifiées par rapport au registre.