Programma CUI

La Controlled Unclassified Information (CUI) è un'informazione che il governo crea o riceve, oppure che un'organizzazione conserva per suo conto. Legge, regolamento o politica governativa generale ne impongono la protezione o la condivisione solo sotto controlli. Non è però classificata. Esempi tipici sono i dati tecnici soggetti a controllo delle esportazioni, le informazioni personali raccolte dalle agenzie federali, i dettagli sulle infrastrutture critiche, il materiale sensibile delle forze dell'ordine e i dati proprietari consegnati a un'autorità di regolazione.

Prima del programma, le agenzie proteggevano questi materiali con un mosaico di etichette informali, come “sensitive but unclassified”, “for official use only” o “law enforcement sensitive”, e decine di altre. Il programma CUI le ha sostituite con un unico quadro e un'unica regola: se un tipo di informazione non compare nel registro ufficiale, non è CUI e non deve essere contrassegnato come tale. In pratica, il CUI è una parte della famiglia più ampia dei dati sensibili.

L'Executive Order 13556 del novembre 2010 ha imposto al potere esecutivo di adottare un sistema unico e uniforme per designare, contrassegnare e proteggere le informazioni sensibili non classificate. Il regolamento di attuazione, la 32 CFR Part 2002, pubblicato nel 2016, è pienamente in vigore dal novembre 2017 e vincola ogni agenzia federale lungo tutto il ciclo di vita dell'informazione: designazione, marcatura, salvaguardia, diffusione, rimozione dei controlli e segnalazione degli incidenti.

La National Archives and Records Administration (NARA) agisce da agente esecutivo. All'interno della NARA, l'Information Security Oversight Office (ISOO) gestisce il registro, pubblica linee guida e formazione e verifica l'attuazione nelle agenzie. Ogni agenzia nomina un alto responsabile delle proprie operazioni CUI. Alcune parti del governo aggiungono regole proprie: il Dipartimento della Difesa, ad esempio, regola la propria catena di fornitura.

Il registro CUI è la spina dorsale del programma. È l'elenco autorevole di tutte le categorie e sottocategorie approvate. Per ciascuna riporta la base giuridica, la marcatura esatta e il modo in cui l'informazione va salvaguardata, diffusa e svincolata. Le agenzie non possono inventare categorie proprie. La meccanica della marcatura è volutamente uniforme:

Il CUI non resta all'interno del governo. Organizzazioni della difesa, aerospaziali, sanitarie, energetiche e di ricerca lo ricevono tramite contratti e sovvenzioni. Quando esce da un sistema federale, i requisiti seguono l'informazione. Gli obblighi raggiungono le organizzazioni non federali in due modi: tramite clausole del contratto o dell'accordo, oppure direttamente per legge o regolamento federale.

In pratica, la base di salvaguardia è il NIST SP 800-171, Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations. Nella sua seconda revisione conta 110 requisiti di sicurezza in quattordici famiglie di controlli, dal controllo degli accessi e dall'audit alla risposta agli incidenti, alla protezione dei supporti e alla sicurezza del personale. Le clausole specifiche determinano quanto severamente viene applicato:

• DFARS 252.204-7012: i contratti della difesa richiedono piena conformità al NIST SP 800-171 per i sistemi che trattano CUI, il passaggio degli stessi requisiti ai subappaltatori e la segnalazione, entro 72 ore, degli incidenti che coinvolgono informazioni di difesa protette.
• FAR 52.204-21: i contratti privi della clausola completa richiedono comunque misure di base, come limiti di accesso, monitoraggio e igiene di sicurezza, per i sistemi che trattano o conservano CUI.
• Valutazione e certificazione: il Dipartimento della Difesa verifica la conformità tramite autovalutazioni con punteggio. Il suo programma di certificazione aggiunge la valutazione di terze parti per la catena di fornitura.
• Regole di gestione: il CUI non deve essere inviato a account di posta personali né conservato su dispositivi personali. Va distrutto con metodi approvati, e il personale che lo gestisce deve essere formato.

Per un'organizzazione non federale, il programma diventa un ciclo di lavoro concreto in cinque fasi:

1. 1

   Individuare il CUI

   Stabilire quali informazioni di ogni contratto sono designate come CUI.

2. 2

   Delimitare il perimetro

   Definire dove vengono conservate ed elaborate, idealmente in un ambiente dedicato.

3. 3

   Applicare il NIST SP 800-171

   Implementare in quell'ambiente i controlli del NIST SP 800-171.

4. 4

   Contrassegnare e formare

   Contrassegnare in modo coerente i documenti interni e formare chi ha accesso.

5. 5

   Preparare il processo per gli incidenti

   Predisporre in anticipo un processo per la gestione degli incidenti.

Le modalità di fallimento ricorrenti sono note. Si tratta il CUI come un normale dato aziendale riservato, lo si lascia diffondere in sistemi fuori perimetro e account personali, oppure si lasciano le valutazioni diventare obsolete dopo i cambiamenti dell'ambiente.

Anexet non gestisce il registro CUI né assegna marcature CUI. Le sue regole di blocco possono però verificare un'etichetta di sensibilità Microsoft su un file, quindi una regola può appoggiarsi a un'etichettatura dei dati già in uso, come fa il blocco basato sul contenuto con etichette e impronte.

Un programma CUI non è un esercizio una tantum. Il registro evolve, le clausole contrattuali cambiano e le valutazioni vanno aggiornate per restare difendibili.