Programa CUI

Controlled Unclassified Information (CUI) é a informação que o governo cria ou recebe, ou que uma organização mantém em seu nome. Lei, regulamento ou política de todo o governo exige que ela seja protegida ou compartilhada somente sob controles. Mesmo assim, ela não é classificada. Exemplos típicos incluem dados técnicos sujeitos a controle de exportação, informações pessoais coletadas por agências federais, detalhes de infraestrutura crítica, materiais sensíveis de aplicação da lei e dados proprietários enviados a um órgão regulador.

Antes do programa, as agências protegiam esse material com um conjunto de rótulos informais, como “sensitive but unclassified”, “for official use only” e “law enforcement sensitive”, além de dezenas de outros. O programa CUI substituiu todos por uma única estrutura e uma única regra. Se um tipo de informação não consta do registro oficial, não é CUI e não deve ser marcado como tal. Na prática, o CUI é uma parte da família mais ampla de dados sensíveis.

A Executive Order 13556, de novembro de 2010, determinou que o Poder Executivo adotasse um sistema único e uniforme para designar, marcar e proteger informações sensíveis não classificadas. O regulamento de aplicação, a 32 CFR Part 2002, foi publicado em 2016 e passou a valer integralmente em novembro de 2017. Ele vincula todas as agências federais ao longo de todo o ciclo de vida da informação: designação, marcação, salvaguarda, disseminação, descontrole e comunicação de incidentes.

A National Archives and Records Administration (NARA) atua como agente executivo. Dentro da NARA, o Information Security Oversight Office (ISOO) mantém o registro, publica orientações e treinamentos e revisa a implementação pelas agências. Cada agência designa um alto responsável por suas operações de CUI. Algumas partes do governo acrescentam regras próprias. O Departamento de Defesa, por exemplo, regula sua cadeia de suprimentos.

O registro CUI é a espinha dorsal do programa. Ele é a lista oficial de todas as categorias e subcategorias aprovadas. Para cada uma, registra a base legal, a marcação exata e como a informação deve ser salvaguardada, disseminada e descontrolada. As agências não podem criar categorias próprias. A mecânica da marcação é deliberadamente uniforme:

O CUI não fica restrito ao governo. Organizações de defesa, aeroespaciais, de saúde, energia e pesquisa o recebem por meio de contratos e subvenções. Quando ele sai de um sistema federal, os requisitos o acompanham. As obrigações alcançam organizações não federais de duas formas: por cláusulas do contrato ou acordo, ou diretamente por lei ou regulamento federal.

Na prática, a base de salvaguarda é o NIST SP 800-171, Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations. Na segunda revisão, ele tem 110 requisitos de segurança em catorze famílias de controles, do controle de acesso e auditoria à resposta a incidentes, proteção de mídias e segurança de pessoal. Cláusulas específicas determinam o rigor da aplicação:

• DFARS 252.204-7012: contratos de defesa exigem conformidade total com o NIST SP 800-171 em sistemas que tratam CUI, repasse dos mesmos requisitos a subcontratados e comunicação de incidentes com informações de defesa protegidas em até 72 horas.
• FAR 52.204-21: contratos sem a cláusula completa ainda exigem salvaguardas básicas, como limites de acesso, monitoramento e higiene de segurança, para sistemas que processam ou armazenam CUI.
• Avaliação e certificação: o Departamento de Defesa verifica a conformidade por meio de autoavaliações pontuadas, e seu programa de certificação acrescenta avaliação por terceiros na cadeia de suprimentos.
• Regras de manuseio: CUI não pode ser enviado a contas de e-mail pessoais nem armazenado em dispositivos pessoais. Deve ser destruído por métodos aprovados, e a equipe que o manipula precisa ser treinada.

Para uma organização não federal, o programa vira um ciclo de trabalho concreto, em cinco etapas:

1. 1

   Identificar o CUI

   Descubra quais informações de cada contrato são designadas como CUI.

2. 2

   Delimitar o escopo

   Defina onde o CUI é armazenado e processado, de preferência em um ambiente dedicado a isso.

3. 3

   Implementar o NIST SP 800-171

   Aplique ali os controles do NIST SP 800-171.

4. 4

   Marcar e treinar

   Marque os documentos internos de forma consistente e treine quem tem acesso.

5. 5

   Preparar o processo de incidentes

   Prepare um processo de incidentes com antecedência.

Os modos de falha recorrentes são bem conhecidos. Organizações tratam o CUI como dado confidencial comum de negócio e deixam que ele se espalhe por sistemas fora do escopo e contas pessoais. Ou deixam as avaliações defasadas após mudanças no ambiente.

O Anexet não mantém o registro de CUI nem atribui marcações de CUI. Suas regras de bloqueio podem, porém, verificar um rótulo de sensibilidade da Microsoft no arquivo, então uma regra pode se apoiar na rotulagem de dados já existente, do mesmo modo que o bloqueio com base no conteúdo funciona com rótulos e impressões digitais.

Um programa CUI não é um exercício único. O registro evolui, as cláusulas contratuais mudam e as avaliações precisam ser atualizadas para permanecer defensáveis.