Registro CUI

La Controlled Unclassified Information (CUI) è l'informazione che il governo degli Stati Uniti richiede di proteggere per la sua sensibilità. Non raggiunge però la soglia di classificazione delle regole di sicurezza nazionale. Prima del 2010 questo materiale era disperso in oltre cento etichette d'agenzia incoerenti, come For Official Use Only, Sensitive But Unclassified e Law Enforcement Sensitive. L'ordine esecutivo 13556 ha sostituito quel mosaico con un unico programma governativo, affidandone la gestione agli Archivi Nazionali (NARA).

Il CUI Registry è il repertorio pubblico del programma CUI. Lo gestisce la NARA tramite il suo Information Security Oversight Office (ISOO). È l'elenco ufficiale di ogni categoria e sottocategoria CUI approvata, con le relative marcature, i controlli di gestione e la base giuridica. La regola operativa del programma per agenzie e appaltatori è la 32 CFR Part 2002. Nel registro si trovano le decisioni concrete previste da questo quadro.

Il registro organizza la CUI in una ventina di categorie di primo livello. Ogni categoria si divide in sottocategorie, che riportano le marcature effettive. Ogni voce ha gli stessi elementi:

Il registro distingue due tipi di protezione. La CUI Basic copre le informazioni i cui requisiti di trattamento derivano dal programma CUI stesso. I detentori autorizzati applicano i controlli di base uniformi del 32 CFR Part 2002, senza aggiunte specifiche di agenzia. La maggior parte delle voci del registro è Basic.

La CUI Specified copre le informazioni per cui una legge o un regolamento esterno al programma CUI definisce già il trattamento, per esempio una conservazione più lunga, un accesso più rigoroso o una revoca diversa. Per queste voci il registro cita l'autorità competente, e i detentori seguono i suoi controlli specifici quando differiscono dalla base. La distinzione conta per chi scrive le procedure, perché le categorie Specified non si gestiscono con una politica unica per tutti.

Il registro è l'unica fonte legittima delle marcature CUI, e la marcatura è una forma di etichettatura dei dati. È ciò che rende uniformi le marcature in tutta la pubblica amministrazione. In pratica, le regole funzionano in quest'ordine:

1. 1

   Designazione

   Il detentore autorizzato che crea o riceve l'informazione applica la marcatura di intestazione CUI, o CUI con l'identificatore di categoria e sottocategoria, con la grafia esatta del registro.

2. 2

   Marcature di porzione

   Ogni porzione di un documento che contiene CUI porta la propria marcatura. Un documento misto si può così trattare porzione per porzione.

3. 3

   Controlli di diffusione

   Riserve facoltative, come FED ONLY o NOFORN, si aggiungono quando lo richiede la voce del registro o l'agenzia designante.

4. 4

   Marcature legacy

   Le etichette ritirate, come For Official Use Only e Sensitive But Unclassified, sono state collegate alle categorie del registro e ri-marcate durante la transizione.

5. 5

   Revoca

   I controlli della CUI sono revocati quando la base di protezione scade, per esempio alla fine di un contratto. Il registro annota quali categorie hanno eventi di revoca obbligatori.

Per un'agenzia federale, e per gli appaltatori e i beneficiari di sovvenzioni che detengono CUI per suo conto, il registro è il punto di partenza del flusso di classificazione. Prima di marcare un'informazione, l'organizzazione individua la legge, il regolamento o la politica che la sostiene. Il campo base di ogni voce serve proprio a questa verifica.

Il registro stabilisce anche le regole di lavoro. Il personale sceglie la sottocategoria più specifica che corrisponde; se nessuna corrisponde, l'informazione non è CUI, perché le agenzie non possono inventare categorie proprie. Le marcature si copiano alla lettera in documenti, modelli e sistemi, e il personale riceve formazione sulle categorie che tratta. La classificazione dei dati e gli strumenti DLP sono alimentati con le categorie del registro. Gli ispettori, compresi quelli che verificano i sistemi non federali secondo NIST SP 800-171, controllano che il CUI sia marcato in modo coerente con il registro.

Il registro copre solo le informazioni non classificate. Ciò che raggiunge le soglie di classificazione per la sicurezza nazionale segue il sistema classificato separato, non il CUI Registry. Non ogni documento sensibile rientra nei requisiti. Se nessuna legge, regolamento o politica governativa richiede protezione, l'informazione è fuori dal programma, anche se l'agenzia preferirebbe proteggerla.

Gli errori pratici più frequenti violano queste regole. Poiché il registro è pubblico e versionato, la difesa contro tutti è la stessa: cercare la sottocategoria nel registro.

• Inventare una categoria locale: Usare una sottocategoria del registro, altrimenti non è CUI
• Marcare tutto come CUI: Valutare prima la sensibilità reale dell'informazione
• Saltare la revoca: Revocare i controlli quando scade la base di protezione
• Copiare marcature senza controllo: Verificare la voce del registro prima di riusare una marcatura

Parta dalle informazioni che la sua organizzazione gestisce davvero, poi associ ogni gruppo a una sottocategoria del registro. Le regole di marcatura scritte prima di questo passaggio non si possono verificare rispetto al registro.