Program CUI

Controlled Unclassified Information (CUI) to informacje, które tworzy lub otrzymuje rząd albo które organizacja przechowuje w jego imieniu. Prawo, przepisy lub polityka obowiązująca w całym rządzie wymagają, by były chronione lub udostępniane tylko pod kontrolą. Nie są jednak niejawne. Typowe przykłady to dane techniczne objęte kontrolą eksportu, dane osobowe zbierane przez agencje federalne, szczegóły infrastruktury krytycznej, materiały wrażliwe dla organów ścigania oraz dane własnościowe przekazywane regulatorowi.

Zanim powstał program, agencje chroniły takie materiały zbiorem nieformalnych oznaczeń, na przykład „sensitive but unclassified”, „for official use only” i „law enforcement sensitive”, a także dziesiątkami innych. Program CUI zastąpił je jednym systemem i jedną regułą. Jeśli danego rodzaju informacji nie ma w oficjalnym rejestrze, nie jest CUI i nie wolno jej tak oznaczać. W praktyce CUI jest jedną częścią szerszej rodziny danych wrażliwych.

Executive Order 13556 z listopada 2010 roku nakazał władzy wykonawczej przyjęcie jednego, ujednoliconego systemu wyznaczania, oznaczania i ochrony wrażliwych informacji nieniejawnych. Przepis wykonawczy, 32 CFR Part 2002, został opublikowany w 2016 roku i w pełni obowiązuje od listopada 2017 roku. Wiąże każdą agencję federalną na każdym etapie cyklu życia informacji: od wyznaczenia, przez oznaczanie i zabezpieczanie, po udostępnianie, dekontrolę i zgłaszanie incydentów.

Agentem wykonawczym jest National Archives and Records Administration (NARA). W ramach NARA Information Security Oversight Office (ISOO) prowadzi rejestr, publikuje wytyczne i szkolenia oraz sprawdza, jak agencje wdrażają program. Każda agencja wyznacza starszego urzędnika odpowiedzialnego za swoje operacje CUI. Niektóre części rządu dokładają własne reguły. Departament Obrony na przykład reguluje swój łańcuch dostaw.

Rejestr CUI jest kręgosłupem programu. To autorytatywna lista wszystkich zatwierdzonych kategorii i podkategorii. Dla każdej z nich określa podstawę prawną, dokładne oznaczenie oraz sposób zabezpieczania, udostępniania i dekontroli informacji. Agencje nie mogą tworzyć własnych kategorii. Mechanika oznaczania jest celowo ujednolicona:

CUI nie zostaje wewnątrz administracji rządowej. Organizacje z sektorów obronnego, kosmicznego, ochrony zdrowia, energetyki i badawczego otrzymują je w ramach kontraktów i grantów. Gdy informacja opuszcza system federalny, wymogi idą razem z nią. Obowiązki dotyczą organizacji niefederalnych na dwa sposoby: przez zapisy w umowie lub bezpośrednio z ustawy albo przepisów federalnych.

W praktyce podstawą zabezpieczeń jest NIST SP 800-171, Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations. W drugiej wersji obejmuje 110 wymagań bezpieczeństwa w czternastu rodzinach kontroli, od kontroli dostępu i audytu po reagowanie na incydenty, ochronę nośników i bezpieczeństwo personelu. O tym, jak surowo się go egzekwuje, decydują konkretne klauzule:

• DFARS 252.204-7012: kontrakty obronne wymagają pełnej zgodności z NIST SP 800-171 w systemach obsługujących CUI, przenoszenia tych wymogów na podwykonawców oraz zgłaszania incydentów dotyczących chronionych informacji obronnych w ciągu 72 godzin.
• FAR 52.204-21: kontrakty bez pełnej klauzuli nadal wymagają podstawowych zabezpieczeń, takich jak ograniczenia dostępu, monitorowanie i higiena systemów, dla systemów przetwarzających lub przechowujących CUI.
• Ocena i certyfikacja: Departament Obrony weryfikuje zgodność przez punktowane samooceny, a jego program certyfikacji dodaje ocenę stron trzecich dla łańcucha dostaw.
• Zasady postępowania: CUI nie wolno wysyłać na prywatne konta e-mail ani przechowywać na urządzeniach osobistych. Trzeba je niszczyć zatwierdzonymi metodami, a personel musi być przeszkolony.

Dla organizacji niefederalnej program staje się konkretnym cyklem pracy w pięciu krokach:

1. 1

   Zidentyfikuj CUI

   Ustal, które informacje w każdym kontrakcie są oznaczone jako CUI.

2. 2

   Wyznacz zakres

   Określ, gdzie CUI jest przechowywane i przetwarzane, najlepiej w środowisku wydzielonym do tego celu.

3. 3

   Wdroż NIST SP 800-171

   Wdroż kontrole NIST SP 800-171 w tym środowisku.

4. 4

   Oznaczaj i szkol

   Spójnie oznaczaj dokumenty wewnętrzne i szkol osoby mające do nich dostęp.

5. 5

   Przygotuj proces incydentowy

   Przygotuj proces na wypadek incydentu z wyprzedzeniem.

Powtarzające się błędy są dobrze znane. Organizacje traktują CUI jak zwykłe poufne dane firmowe. Pozwalają mu rozproszyć się po systemach spoza zakresu i kontach osobistych. Albo dopuszczają, by oceny się zdezaktualizowały po zmianach w środowisku.

Anexet nie prowadzi rejestru CUI i nie nadaje oznaczeń CUI. Jego reguły blokowania mogą jednak sprawdzać etykietę wrażliwości Microsoft na pliku, więc reguła może opierać się na etykietowaniu danych, które już istnieje, podobnie jak blokowanie z uwzględnieniem treści działa z etykietami i odciskami cyfrowymi.

Program CUI nie jest jednorazowym ćwiczeniem. Rejestr ewoluuje, klauzule kontraktowe się zmieniają, a oceny trzeba odświeżać, by pozostały wiarygodne.