Registro CUI

Controlled Unclassified Information (CUI) é a informação que o governo dos EUA exige proteger por sua sensibilidade. Ela não atinge, porém, o limiar de classificação das regras de segurança nacional. Antes de 2010, esse material estava espalhado por mais de cem rótulos inconsistentes de agências, como For Official Use Only, Sensitive But Unclassified e Law Enforcement Sensitive. A Ordem Executiva 13556 substituiu essa colcha de retalhos por um único programa de governo e atribuiu aos Arquivos Nacionais (NARA) a sua condução.

O CUI Registry é o livro de referência público do Programa CUI. A NARA o mantém por meio do Information Security Oversight Office (ISOO). É a lista oficial de cada categoria e subcategoria CUI aprovada, com as marcações, os controles de tratamento e a base legal de cada uma. A regra operacional do programa para agências e contratados é a 32 CFR Part 2002. É no registro que vivem as decisões concretas previstas nesse arcabouço.

O registro organiza a CUI em cerca de vinte categorias de nível superior. Cada categoria se divide em subcategorias, que trazem as marcações efetivas. Cada entrada tem os mesmos elementos:

O registro distingue dois tipos de proteção. A CUI Basic cobre informação cujas regras de tratamento vêm do próprio programa CUI. Os detentores autorizados aplicam os controles básicos uniformes da 32 CFR Part 2002, sem acréscimos específicos de agência. A maioria das entradas do registro é Basic.

A CUI Specified cobre informação para a qual uma lei ou regulamento fora do programa CUI já define o tratamento, como retenção mais longa, acesso mais restrito ou outra retirada de controles. Nesses casos, o registro cita a autoridade competente, e os detentores seguem os controles específicos dela onde houver diferença em relação à base. Isso importa para quem escreve procedimentos, porque categorias Specified não se tratam com uma política única para todos.

O registro é a única fonte legítima das marcações CUI, e marcar é uma forma de rotulagem de dados. Isso mantém as marcações uniformes em todo o governo. Na prática, as regras funcionam nesta ordem:

1. 1

   Designação

   O detentor autorizado que cria ou recebe a informação aplica o banner CUI, ou CUI com identificador de categoria e subcategoria, com a grafia exata do registro.

2. 2

   Marcações de porção

   Cada porção de um documento com CUI recebe a própria marcação. Assim, um documento misto pode ser tratado porção por porção.

3. 3

   Controles de disseminação

   Ressalvas opcionais, como FED ONLY ou NOFORN, são acrescentadas quando a entrada do registro ou a agência designante exige.

4. 4

   Marcações legadas

   Rótulos aposentados, como For Official Use Only e Sensitive But Unclassified, precisaram ser mapeados para as categorias do registro e remarcados durante a transição.

5. 5

   Descontrole

   A CUI é descontrolada quando a base da proteção expira, por exemplo com o fim de um contrato. O registro indica quais categorias têm eventos obrigatórios de descontrole.

Para uma agência federal, e para os contratados e beneficiários de subsídios que detêm CUI em seu nome, o registro é o ponto de partida do fluxo de classificação. Antes de marcar a informação, a organização identifica a lei, o regulamento ou a política que a sustenta. O campo de base de cada entrada existe justamente para essa verificação.

O registro também define as regras de trabalho. A equipe escolhe a subcategoria mais específica que se encaixa e, se nenhuma se encaixar, a informação não é CUI, porque as agências não podem criar categorias próprias. As marcações são copiadas literalmente para documentos, modelos e sistemas, e a equipe é treinada nas categorias que manuseia. A classificação de dados e as ferramentas de DLP são alimentadas com as categorias do registro. Os inspetores, inclusive os que verificam sistemas não federais segundo a NIST SP 800-171, checam se o CUI está marcado de forma consistente com o registro.

O registro cobre apenas informações não classificadas. Tudo o que atinge os limites de classificação de segurança nacional segue o sistema classificado separado, não o CUI Registry. Nem todo documento sensível se qualifica. Se nenhuma lei, regulamento ou política governamental exigir proteção, a informação está fora do programa, mesmo que a agência preferisse protegê-la.

Os erros práticos mais comuns contrariam essas regras. Como o registro é público e versionado, a defesa contra todos eles é a mesma: consultar a subcategoria no registro.

• Criar uma categoria local: Usar uma subcategoria do registro; se nenhuma servir, não é CUI
• Marcar tudo como CUI: Avaliar antes a sensibilidade real da informação
• Pular o descontrole: Retirar os controles quando a base da proteção expirar
• Copiar marcações sem conferir: Conferir a entrada do registro antes de reutilizar a marcação

Comece pelas informações que a organização realmente possui e depois associe cada grupo a uma subcategoria do registro. Regras de marcação escritas antes desse passo não podem ser conferidas contra o registro.