Rejestr CUI

Controlled Unclassified Information (CUI) to informacje, które rząd USA nakazuje chronić ze względu na ich wrażliwość. Nie osiągają one jednak progu tajności według reguł bezpieczeństwa narodowego. Przed 2010 rokiem materiał ten był rozproszony w ponad stu niespójnych etykietach agencji, na przykład For Official Use Only, Sensitive But Unclassified czy Law Enforcement Sensitive. Nakaz wykonawczy 13556 zastąpił ten chaos jednym programem obejmującym cały rząd i zlecił jego prowadzenie National Archives and Records Administration (NARA).

Rejestr CUI to publiczna księga referencyjna programu CUI. NARA prowadzi go przez Information Security Oversight Office (ISOO). To autorytatywny wykaz każdej zatwierdzonej kategorii i podkategorii CUI, z oznaczeniami, zasadami postępowania i podstawą prawną przypisanymi do każdej z nich. Regułą operacyjną programu dla agencji i wykonawców jest 32 CFR Part 2002. W rejestrze zapisane są konkretne decyzje wynikające z tych ram.

Rejestr dzieli CUI na około dwadzieścia kategorii najwyższego poziomu. Każda z nich ma podkategorie, które niosą właściwe oznaczenia. Każdy wpis ma te same elementy:

Rejestr rozróżnia dwa rodzaje ochrony. CUI Basic obejmuje informacje, których zasady postępowania wynikają z samego programu CUI. Uprawnieni posiadacze stosują jednolite podstawowe środki kontroli z 32 CFR Part 2002, bez dodatków właściwych dla danej agencji. Większość wpisów rejestru to Basic.

CUI Specified obejmuje informacje, dla których ustawa lub rozporządzenie spoza programu CUI już określa sposób postępowania, na przykład dłuższe przechowywanie, ostrzejszy dostęp albo inne zniesienie kontroli. Przy takich wpisach rejestr wskazuje właściwy organ. Posiadacze stosują jego szczegółowe środki tam, gdzie różnią się od podstawy. Ma to znaczenie dla każdego, kto pisze procedury, bo kategorii Specified nie obsłuży jedna polityka dla wszystkich.

Rejestr jest jedynym prawomocnym źródłem oznaczeń CUI, a oznaczanie jest jedną z form etykietowania danych. Dzięki temu oznaczenia są jednolite w całym rządzie. W praktyce reguły działają w tej kolejności:

1. 1

   Oznaczenie

   Uprawniony posiadacz, który tworzy lub otrzymuje informację, nadaje nagłówek CUI albo CUI z identyfikatorem kategorii i podkategorii, dokładnie tak jak w rejestrze.

2. 2

   Oznaczenia części

   Każda część dokumentu zawierająca CUI ma własne oznaczenie. Dokument mieszany można dzięki temu obsługiwać część po części.

3. 3

   Środki upowszechniania

   Opcjonalne zastrzeżenia, takie jak FED ONLY lub NOFORN, dodaje się wtedy, gdy wymaga ich wpis rejestru albo oznaczająca agencja.

4. 4

   Oznaczenia starsze

   Wycofane etykiety, na przykład For Official Use Only i Sensitive But Unclassified, trzeba było w okresie przejściowym przypisać do kategorii rejestru i oznaczyć ponownie.

5. 5

   Zniesienie kontroli

   Kontrolę CUI znosi się, gdy wygasa podstawa ochrony, na przykład po zakończeniu umowy. Rejestr odnotowuje, które kategorie mają obowiązkowe zdarzenia zniesienia.

Dla agencji federalnej oraz wykonawców i beneficjentów grantów, którzy przechowują CUI w jej imieniu, rejestr jest punktem wyjścia procesu klasyfikacji. Zanim informacja zostanie oznaczona, organizacja ustala ustawę, rozporządzenie lub politykę, na których się opiera. Pole podstawy we wpisie rejestru służy właśnie temu sprawdzeniu.

Rejestr wyznacza też zasady pracy. Wybiera się najwęższą pasującą podkategorię. Jeśli żadna nie pasuje, informacja nie jest CUI, bo agencje nie mogą tworzyć własnych kategorii. Oznaczenia kopiuje się dosłownie do dokumentów, szablonów i systemów, a pracowników szkoli się w zakresie kategorii, które faktycznie obsługują. Klasyfikacja danych oraz narzędzia DLP są zasilane kategoriami rejestru. Inspektorzy, także ci, którzy sprawdzają systemy niefederalne według NIST SP 800-171, badają, czy CUI jest oznaczana zgodnie z rejestrem.

Rejestr obejmuje wyłącznie informacje niesklasyfikowane. Wszystko, co osiąga progi tajności bezpieczeństwa narodowego, podlega odrębnemu systemowi informacji niejawnych, a nie rejestrowi CUI. Nie każdy wrażliwy dokument też się kwalifikuje. Jeśli żadna ustawa, rozporządzenie ani polityka rządowa nie wymaga ochrony, informacja jest poza programem, nawet gdy agencja wolałaby ją chronić.

Najczęstsze błędy wynikają z pominięcia tych reguł. Ponieważ rejestr jest publiczny i wersjonowany, na wszystkie wystarcza jedno: sprawdzić podkategorię w rejestrze.

• Wymyślanie lokalnej kategorii: Użyć podkategorii z rejestru; jeśli żadna nie pasuje, to nie jest CUI
• Oznaczanie wszystkiego jako CUI: Najpierw ocenić realną wrażliwość informacji
• Pominięcie zniesienia kontroli: Znieść kontrolę, gdy wygasa podstawa ochrony
• Kopiowanie oznaczeń bez sprawdzenia: Sprawdzić wpis w rejestrze przed użyciem oznaczenia

Zacznij od informacji, którymi organizacja faktycznie dysponuje, a potem przypisz każdą grupę do podkategorii z rejestru. Reguły oznaczania napisane przed tym krokiem nie da się sprawdzić względem rejestru.